Etterlevelse
Sikkerhetstiltak
Sikkerhet
Sikkerhetstiltak
Disse er bygget inn i motoren og installasjonspakken nå:
- Isolasjon per virksomhet: hver virksomhets data holdes adskilt, håndhevet inne i databasen, ikke bare i applikasjonskoden.
- Revisjonslogg: hvert verktøykall fra en agent registreres med hvem, hva, når og utfallet.
- Maskering av personopplysninger, på som standard for alle modeller: før en forespørsel går til en modell, erstatter anonymisereren verdiene i kolonnene IT-ansvarlig har merket for maskering, og navnene, fødselsnumrene, e-postadressene, telefonnumrene og IBAN-numrene den kjenner igjen, med plassholdere; et kall som inneholder en ubeskyttet verdi, avvises.
- Skrivekontroll: hver skriving systemet gjør, sjekkes mot tilgangene til den som ba om den, og godkjennes slik dere har satt det for hver agent: automatisk, av den personen eller av en annen person.
NIS2: hva direktivet krever, og hvordan Fundarem er laget for å hjelpe
NIS2, direktiv (EU) 2022/2555, krever at vesentlige og viktige enheter styrer cybersikkerhetsrisiko (art. 21) og melder betydelige hendelser i trinn (art. 23). Fundarem avgjør ikke om NIS2 gjelder for dere. Der det gjelder, er pliktene deres. Fundarem er laget for å hjelpe med sporene og kontrollene bak dem.
Hvem det gjelder
NIS2 omfatter enhetstypene i vedlegg I og II, når de er mellomstore eller større, og noen uansett størrelse (art. 2). Som direktiv gjelder det gjennom hvert lands egen lov.
Tiltak for å styre risiko (art. 21)
Artikkel 21(1) krever "appropriate and proportionate technical, operational and organisational measures". Artikkel 21(2) lister minst:
- risikoanalyse og sikkerhetspolicyer for informasjonssystemer (a)
- håndtering av hendelser (b)
- kontinuitet (c)
- sikkerhet i leverandørkjeden (d)
- sikker anskaffelse og utvikling, inkludert håndtering av sårbarheter (e)
- vurdering av om tiltakene virker (f)
- cyberhygiene og opplæring (g)
- kryptografi (h)
- personsikkerhet, tilgangskontroll og forvaltning av eiendeler (i)
- flerfaktorautentisering (j)
Sikkerhet i leverandørkjeden (art. 21(2)(d) og 21(3))
"security-related aspects concerning the relationships between each entity and its direct suppliers or service providers"
Enhetene vurderer hver direkte leverandørs sårbarheter og cybersikkerhetspraksis, "including their secure development procedures" (art. 21(3)).
Melding av hendelser (art. 23)
Et tidlig varsel "within 24 hours of becoming aware of the significant incident" (art. 23(4)(a)).
En hendelsesmelding "within 72 hours" (art. 23(4)(b)).
En sluttrapport "not later than one month after the submission of the incident notification" (art. 23(4)(d)).
Status i Norge
Norge, sjekket 29. okt. 2026: Digitalsikkerhetsloven har gjeldt siden 1. oktober 2025 og gjennomfører det første NIS-direktivet, (EU) 2016/1148. NSM skriver at NIS2 «etter hvert» skal innføres i norsk rett sammen med CER-direktivet.
Slik er Fundarem laget for å hjelpe
| Plikt | Det Fundarem oppgir | Slik er det laget for å hjelpe |
|---|---|---|
| Tilgangskontroll, art. 21(2)(i) | Skriving sjekkes mot rettighetene til den som ber om den, og godkjennes deretter automatisk, av den personen eller av en annen person. Isolasjon mellom leietakere håndheves i databasen. | Laget for å hjelpe dere å begrense hva hver agent og person kan endre. |
| Håndtering og melding av hendelser, art. 21(2)(b) og art. 23 | En revisjonslogg over hvert verktøykall fra en agent (hvem, hva, når, utfall) og en historikk som bare kan legges til, for hver endring i dataene, i deres egen Azure-leietaker. | Laget for å hjelpe dere å rekonstruere hva som skjedde når dere skriver en melding. |
| Leverandørkjede, art. 21(2)(d) | Fundarem kjører i deres egen Azure-leietaker, i en EU/EØS-region dere velger, med Norway East som standard. Tilgangsnøkler for koblinger er laget for å ligge i deres Key Vault, og skrives aldri ut eller logges. Virksomheten deres styrer hvilke verktøy utenfra som kobles til. Underdatabehandlere er listet. | Laget for å hjelpe dere å vurdere Fundarem som leverandør. |
| Sikkerhet i informasjonssystemer, art. 21(2)(a) | Maskering av personopplysninger er på som standard, og et kall som fortsatt har en ubeskyttet verdi, blir avvist. | Laget for å hjelpe å begrense hva som når en modell. |
| Vurdering | DPIA-materialet er publisert. Det er en GDPR-dokumentasjon. Det støtter en NIS2-risikoanalyse. Det er ikke den analysen. | Laget for å hjelpe dere å starte fra et skriftlig grunnlag. |
Hva Fundarem ikke gjør
Det avgjør ikke om NIS2 gjelder for dere, og det melder ikke hendelser for dere. De pliktene er deres.
Denne siden sier ikke om Fundarem selv er en enhet NIS2 omfatter. Ingen kilde sier det.
Spørsmål
Dekker Fundarem NIS2-pliktene våre?
NIS2-pliktene ligger hos virksomhetene direktivet omfatter, ikke hos et produkt. Fundarem avgjør ikke om NIS2 gjelder for dere. Det er laget for å hjelpe med tilgangsstyring, revisjonsspor og leverandørvurdering.
Gjelder NIS2 i Norge i dag?
Norge, sjekket 29. okt. 2026: Digitalsikkerhetsloven har gjeldt siden 1. oktober 2025 og gjennomfører det første NIS-direktivet, (EU) 2016/1148. NSM skriver at NIS2 «etter hvert» skal innføres i norsk rett sammen med CER-direktivet.
Hvilke meldefrister har NIS2?
Artikkel 23(4) setter et tidlig varsel innen 24 timer, en hendelsesmelding innen 72 timer, og en sluttrapport senest én måned etter hendelsesmeldingen.
Hvordan hjelper Fundarem med sikkerhet i leverandørkjeden?
Det kjører i deres egen Azure-leietaker i EU/EØS. Nøklene er laget for å ligge i deres Key Vault. Virksomheten deres styrer hvilke verktøy utenfra som kobles til. Underdatabehandlere er listet.
EU-regler · EU-rett: kildene · Slik data flyter · DPIA · Underdatabehandlere · Sikkerhet · Kilder