Ledelsen skal beslutte, hvor virksomheden kræver multifaktorautentificering (MFA), altså login med mere end en adgangskode, og hvordan ledelse og nøglepersoner kommunikerer, hvis mail, telefoni og videomøder er ude af drift. Loven bruger ordene “hvor det er relevant”, og vurderingen af relevansen er en risikobeslutning, der skal træffes og skrives ned. CISO-rollen forbereder vurderingen system for system og foreslår, hvor kravet gælder, og hvor en undtagelse kan accepteres. IT-leverandøren slår MFA til og opretter reservekanalerne, når beslutningen er taget.
Ordene “hvor det er relevant”
NIS2-lovens § 6, stk. 1, nr. 10, omfatter brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt hos enheden, hvor det er relevant. Kravet stammer fra artikel 21, stk. 2, litra j, i NIS2-direktivet.
Ordene giver plads til en vurdering, og den vurdering skal virksomheden selv foretage. Bliver ledelsen spurgt, hvorfor et system er uden MFA, skal svaret kunne findes i en dokumenteret beslutning. En antagelse om, at leverandøren nok har taget stilling, holder ikke over for en tilsynsmyndighed.
Kontinuerlig autentificering er en metode, hvor systemet løbende vurderer, om brugeren er den, vedkommende giver sig ud for, fx ud fra sted, enhed og tidspunkt. For de fleste mindre virksomheder er det klassiske MFA det relevante spørgsmål.
Hvem der vurderer relevansen
Vurderingen bør tage udgangspunkt i virksomhedens risikovurdering og i, hvor vigtigt det enkelte system er. Styrelsen for Samfundssikkerhed (SAMSIK) nævner i sin implementeringsvejledning fire situationer, hvor MFA bør bruges med udgangspunkt i risikovurderingen:
- Fjernadgang til virksomhedens systemer.
- Administrative systemer, hvor opsætningen kan ændres.
- Følsomme eller fortrolige oplysninger, fx personoplysninger og forretningskritiske data.
- Systemer med høj værdi eller store konsekvenser, hvis de bliver kompromitteret.
Den eksterne CISO kan bruge listen som skabelon og gå systemerne igennem sammen med ejerne. Resultatet er en kort oversigt, hvor hvert system har status: MFA krævet og indført, MFA krævet og planlagt med dato, eller undtaget med begrundelse. I en NIS2-omfattet fødevareproducent med 70 ansatte kan gennemgangen vise, at MFA er slået til på mail og fjernadgang, men mangler på økonomisystemet, på leverandørens supportadgang og på administratorkontiene til lagerstyringen. Oversigten giver ledelsen tre afgrænsede beslutninger med dato og ansvarlig i stedet for et løst spørgsmål om, hvorvidt MFA er på plads. Ledelsen godkender oversigten som en del af foranstaltningerne efter § 7, stk. 1. Hvordan godkendelsen ellers foregår, kan læses i artiklen om godkendelse og tilsyn.
Vurderingen hænger tæt sammen med adgangskontrolpolitikken. SAMSIK beskriver, at brugen af MFA skal gennemgås sammen med adgangskontrolpolitikken med regelmæssige mellemrum og ved større ændringer og sikkerhedshændelser, og at gennemgangen skal dokumenteres.
Undtagelserne
Der vil næsten altid være systemer, hvor MFA er svært: en ældre maskinstyring, en fælles skærm i produktionen eller en leverandørløsning, der ikke understøtter det. Her skal ledelsen tage stilling til, om risikoen kan accepteres i en periode, og hvad der i så fald begrænser den, fx at systemet kun kan nås fra det interne net. En undtagelse uden udløbsdato bliver hurtigt permanent. Reglerne for, hvem der må sige ja, gennemgås i artiklen om risikoaccept.
Ledelsen bør også beslutte, at kravet gælder dens egne konti. Direktørens mail og adgangen til netbanken er blandt de konti, der har størst værdi for en angriber.
Hvordan MFA kan afprøves, så kunder og myndigheder kan se, at foranstaltningen virker, er en testopgave, der er beskrevet på nis2-pentest.dk.
Når de normale kanaler er nede
Den anden halvdel af § 6, stk. 1, nr. 10, handler om kommunikation. Ved et angreb med ransomware, hvor data krypteres, og der kræves løsepenge, er mailsystemet ofte det første, der lukkes ned, og telefonien kan være koblet til samme platform. Kan ledelsen ikke tale sammen, kan den heller ikke træffe beslutninger.
SAMSIK beskriver, at virksomheden bør vurdere behovet for kommunikationskanaler, herunder redundante løsninger, og lade dem indgå i procedurerne for driftskontinuitet, hændelseshåndtering og krisestyring. Vejledningen nævner som eksempler alternative telefonløsninger, krypterede beskedtjenester og SMS, og at de valgte kanaler bør kunne fungere uafhængigt af de primære systemer. Nødkommunikationen bør afprøves, fx som del af en årlig øvelse.
For ledelsen er det tre beslutninger:
- Hvilken reservekanal krisestaben bruger, og hvem der er med i den.
- Hvor kontaktlisten ligger, så den kan findes, selv om fællesdrevet er utilgængeligt. Listen bør rumme IT-leverandøren, forsikringens skadeslinje, virksomhedens advokat og de nøglekunder, der skal orienteres, hvis leverancerne går i stå.
- Hvilke oplysninger der må deles i reservekanalen, så fortrolige oplysninger ikke havner i en privat chatgruppe.
Beslutningerne hører hjemme i beredskabsplanen og bør prøves af i en beredskabsøvelse for ledelsen.
Det skal I lade være med
- At læse “hvor det er relevant” som en mulighed for at springe over. Vurderingen skal foretages og dokumenteres.
- At undtage ledelsens egne konti. De er de mest værdifulde.
- At lade leverandøren afgøre, hvilke systemer der er vigtige. Det kræver kendskab til forretningen.
- At bruge den samme platform til både daglig drift og nødkommunikation. Så falder begge ud på samme tid.
- At skrive reservekanalen ind i planen uden at prøve den. Først en øvelse viser, om den virker.
Det skal I kræve af den eksterne
- ☐ En oversigt over systemer med status for MFA og begrundelse for hver undtagelse.
- ☐ En dato for hver planlagt indførelse og en ansvarlig hos leverandøren.
- ☐ Et forslag til reservekanal for krisestaben, og hvem der skal have adgang.
- ☐ En kontaktliste, der kan bruges uden virksomhedens egne systemer.
- ☐ En fast gennemgang af MFA-oversigten sammen med adgangskontrolpolitikken.
Næste beslutning
Bed om oversigten over systemer med fjernadgang og administrative rettigheder, og spørg, hvor MFA mangler i dag. Aftal samtidig, at ledelsen på næste møde beslutter reservekanalen og får vist, hvordan den bruges.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 10 (MFA og sikret kommunikation), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 10.a om multifaktorautentificering og 10.b om nødkommunikationssystemer.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra j.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Adgangsstyring som politik · Beredskab og hændelser set fra ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
