Aktivfortegnelse til NIS2: hvad skal den indeholde?

Det korte svar

For hvert stykke IT-udstyr bør fortegnelsen kunne svare på seks spørgsmål:

• Hvad er det? Navn, aktivnummer, type, producent, model og serienummer.
• Hvem har ansvaret? En navngiven person, ikke "IT".
• Hvor er det? Afdeling og placering, også når placeringen er en hjemmearbejdsplads.
• Hvilken tilstand er det i? I brug, på lager, til reparation eller kasseret.
• Er det beskyttet? Styresystem og version, og om disken er krypteret.
• Passer det stadig? Hvornår maskinen sidst blev set eller kontrolleret.

Fortegnelsen som helhed skal også have en ejer og en fast rytme for gennemgang. Uden det bliver den forældet, og en forældet fortegnelse er næsten værre end ingen, fordi den giver en falsk tryghed.

Hvad kravet faktisk siger

NIS2-direktivets artikel 21, stk. 2, litra i, nævner aktivstyring sammen med personalesikkerhed og adgangsstyring. Mere står der ikke i selve direktivet, og den danske NIS2-lov, der gennemfører det, opstiller heller ikke en liste over felter.

Det mest konkrete bud findes i Kommissionens gennemførelsesforordning (EU) 2024/2690. Den gælder direkte for en afgrænset gruppe, blandt andre udbydere af cloud, datacentre og managed services, men den er den bedste beskrivelse af, hvad aktivstyring betyder i praksis. Dens afsnit om aktivstyring beder blandt andet om:

• en fortegnelse, der er fuldstændig, korrekt, opdateret og konsistent,
• at ændringer i fortegnelsen registreres, så de kan spores,
• at fortegnelsen gennemgås og opdateres jævnligt, og
• at aktiver afleveres eller slettes, når en ansættelse ophører.

ISO 27001 siger det samme med andre ord: kontrol 5.9 kræver en fortegnelse over aktiver, hver med en ejer, og kontrol 5.11 kræver, at aktiver afleveres, når nogen stopper. Har I styr på de to, har I styr på den del af NIS2, der handler om jeres udstyr.

Denne guide er ikke juridisk rådgivning. Om og hvordan I er omfattet, afklarer I med den myndighed, der gælder for jeres sektor, eller med en rådgiver.

Hvad hver post bør indeholde

Felterne herunder er dem, en revisor typisk spørger til. Ikke alle er lige vigtige for alle typer udstyr, men alle har en grund.

Det, der oftest mangler

• En ejer, der er en person. Når alle maskiner står med "IT" som ansvarlig, er der ingen at spørge, når en mangler.
• Kasserede maskiner. De slettes fra regnearket, og med dem forsvinder beviset for, at disken blev slettet, før maskinen forlod huset.
• Udstyr uden for kontoret. Bærbare derhjemme, en lånt skærm og de printere og netværksbokse, ingen tænker på som IT.
• Kryptering, der faktisk er kontrolleret. Den står ofte som "ja" på alle maskiner, fordi nogen satte det op en gang. Status skal læses fra maskinen, ikke huskes.
• En dato. Hvornår blev listen sidst gennemgået? Uden den kan I ikke vise, at den bliver holdt ved lige.

Sådan holder I den opdateret

Det svære er ikke at lave listen. Det er, at den stadig passer om et år. Bind den til de øjeblikke, hvor udstyr skifter hænder:

1. Ny maskine: registreres, før den udleveres.
2. Ny medarbejder eller fratrædelse: den ansvarlige person opdateres, og ved fratrædelse noteres det, at udstyret er afleveret.
3. Reparation og udskiftning: status ændres, og det noteres, hvad der skete.
4. Kassering: status sættes til kasseret, med dato og hvordan data blev slettet.
5. Fast gennemgang: for eksempel hvert kvartal. Sammenlign listen med virkeligheden, og skriv datoen ned.

Alt, der kan opdateres automatisk, bør være det. Styresystem, software, kryptering og hvornår en maskine sidst var tændt ændrer sig, uden at nogen fortæller jer det.

Regneark eller værktøj?

Et regneark er fint til en mindre virksomhed, så længe det faktisk bliver vedligeholdt, og kolonnerne ovenfor er med. Det knækker typisk på tre punkter: der er ingen historik over, hvad der er ændret, krypteringsstatus bliver skrevet af i stedet for læst fra maskinen, og ingen kan se, hvornår en række sidst var korrekt.

Kan I genkende de tre, er det tid til et værktøj, der henter data fra maskinerne selv og husker hver ændring.

Det er det, vi har bygget Nodavio til. Det har felterne ovenfor, AutoDiscovery indberetter styresystem, software, BitLocker-status og hvornår maskinen sidst var online fra jeres Windows-maskiner, hver maskine har sin egen historik, og hele listen kan eksporteres til revisor som CSV. Det gør jer ikke NIS2-compliant alene, og det dækker kun IT-udstyret, men det er den del, der ellers ender som et regneark, ingen holder opdateret.

Tjekliste

• Alt IT-udstyr er med, også bærbare derhjemme, skærme, printere og netværksudstyr.
• Hver post har en navngiven ansvarlig person.
• Hver post har serienummer, status og placering.
• Krypteringsstatus er læst fra maskinen, ikke skrevet af.
• Styresystem og version er kendt for hver computer.
• Kasserede maskiner står der stadig, med dato og hvordan data blev slettet.
• Fratrædelser udløser en kontrol af, at udstyret er afleveret.
• Fortegnelsen har en ejer og en fast dato for næste gennemgang.
• Ændringer kan spores: hvem ændrede hvad, og hvornår.