fragelista frågar hur vi reagerar på en ransomware-attack

Ransomware faller under incidenthantering, inte under kontinuitet enbart

Frågan om ransomware testar vanligtvis din responsförfarande, inte din teknik. Kunder vill se att det finns en fastställd process: identifiera, begränsa, återställ och rapportera till rätt aktörer. Det är exakt proceduren för säkerhetshändelser från artikel 21 stycke 2 punkt b i NIS2 — om du har beskrivit denna procedur, använd den texten här, inte ett separat ransomware-avsnitt. En separat ransomware-policy är därför inte ett krav; en incidentprocedur som namnger ransomware som scenario räcker vanligtvis.

Det som ofta efterfrågas separat är återställningsdelen: kan du starta tjänsten igen utan att betala lösenpenningen. Det hör till säkerhetskopior och nödåtgärder för att återställa tjänstleveransen — punkt c från samma lista, kontinuitet och krishantering. Har du ingen nyligen testad säkerhetskopiering och återställning, är ditt svar på ransomware-scenariot faktiskt svagt, även om din incidentprocess är korrekt på papperet. Besvara därför denna del först när du vet om den senaste återställningstesten har genomförts och när.

Var detta står exakt: artikel 21 punkt 2, bokstav b och c

Artikel 21 punkt 2 i NIS2 nämner tio åtgärder som en enhet måste vidta; bokstav b är incidenthantering, bokstav c är affärskontinuitet inklusive säkerhetskopiehantering och katastrofberedskap. En ransomware-attack påverkar båda: detektering och respons faller under b, återhämtning utan att betala angriparen faller under c. I Cybersäkerhetslag — den nederländska genomförandet av NIS2, som träder i kraft den 15 augusti 2026 — återkommer dessa skyldigheter för enheter som omfattas av lagen; kontrollera vid osäkerhet om företaget själv omfattas av NIS2-direktivet eller dess nationella genomförande, för det avgör om detta är en förpliktelse eller bara en kundförväntning. Arbetar du med ISO 27001, så finns motsvarigheten i Annex A: A.5.24 till A.5.26 för incidenthantering, A.5.29 och A.5.30 för kontinuitet och disaster recovery. Har du ingen av dessa formellt dokumenterad, då är det mest ärligt svar att du har en informell metod och ingen dokumenterad procedur — det är ett annat svar än "ja", och det är viktigt att upprätthålla denna skillnad.