Helius
ENDA
Kontakt mig

NIS2

NIS2 og jeres Linux-servere

NIS2-loven (lov nr. 434 af 6. maj 2025) har gældt siden 1. juli 2025. Er jeres organisation omfattet, eller leverer I til en, der er, vil I blive spurgt, hvad I gør ved foranstaltningerne til styring af cybersikkerhedsrisici. Her kan I se, hvilke af dem mit arbejde giver jer dokumentation for, og hvad jeg dokumenterer som leverandør.

Sådan passer arbejdet til artikel 21, stk. 2

Artikel 21, stk. 2, i NIS2-direktivet opregner de foranstaltninger, væsentlige og vigtige enheder skal træffe. Alt nedenfor er skrevet, så I kan give det videre til en revisor, en kundes spørgeskema eller jeres tilsynsmyndighed.

ForanstaltningDet får I fra mig
(a) Risikoanalyse og politikker for informationssikkerhedEn gennemgang af angrebsfladen og en skriftlig trusselsmodel, der siger, hvad der er dækket, og hvad der ikke er.
Linux-hærdning →
(b) Håndtering af hændelserAlarmer i den overvågning, I allerede bruger, hver med en runbook, der siger, hvad der skal tjekkes og indsamles først.
Kernelsikkerhed →
(c) Driftskontinuitet, backup og genetableringServere, der kan genskabes fra kode, og en procedure for opgradering og rollback, øvet med jeres team.
Infrastruktur →
(d) ForsyningskædesikkerhedSignerede build-artefakter og en SBOM i jeres pipeline og en leverandørerklæring om min egen adgang (nedenfor).
Infrastruktur →
(e) Sikkerhed ved anskaffelse, udvikling og vedligeholdelse, herunder håndtering af sårbarhederLukning af CVE’er, pakker låst til versioner, I har valgt, og kontroller på kernelniveau, der gør angrebsfladen mindre.
Kernelsikkerhed →
(f) Vurdering af, om foranstaltningerne virkerMålinger før og efter hver ændring og et opfølgende tjek efter hver gennemgang.
Performance →
(g) Grundlæggende cyberhygiejneEn grundhærdning rullet ud som kode, der kan gennemgås, på alle servere – ikke kun dem, nogen huskede.
Linux-hærdning →
(i) Adgangsstyring og styring af aktiverEn oversigt over servere, der vedligeholdes som kode, adgang efter mindste privilegium og intet følsomt ud mod internettet.
Linux-hærdning →
(j) MultifaktorautentificeringZero Trust-adgang med MFA foran alle administrationsflader.
Linux-hærdning →

Ikke dækket: (h) politikker for kryptografi og de dele af (g) og (i), der handler om uddannelse og personalesikkerhed. Det er organisatoriske foranstaltninger, som jeg ikke leverer.

Frister for underretning

  1. Tidlig varsling: inden for 24 timer efter, at I er blevet opmærksomme på en væsentlig hændelse
  2. Underretning om hændelsen: inden for 72 timer
  3. Endelig rapport: inden for en måned

Så korte frister forudsætter, at I opdager det tidligt og ved, hvad der skal indsamles. Det er dét, detektion med en runbook til hver alarm er til.

DORA og Cyber Resilience Act

  • DORA har gældt for finansielle enheder siden 17. januar 2025 med egne krav til IKT-risici og tredjepartsleverandører.
  • Cyber Resilience Act kræver, at producenter af produkter med digitale elementer – også Linux-baserede enheder – indberetter aktivt udnyttede sårbarheder fra 11. september 2026. Resten gælder fra 11. december 2027.

Helius som jeres leverandør

Omfattede enheder skal vurdere sikkerheden hos deres direkte leverandører. Det her kan jeg erklære og skrive under på.

  • Alt arbejde udføres af mig personligt. Der er ingen underleverandører.
  • Adgang sker via en personlig konto med de mindste rettigheder, opgaven kræver, og aldrig via et delt root-login. Adgangen fjernes, når samarbejdet slutter.
  • Multifaktorautentificering på al adgang til kunders systemer og fuld diskkryptering på mine arbejdsmaskiner.
  • Jeg gemmer ingen kundedata på mine maskiner, og produktionsdata bliver ikke kopieret. Testdata genereres eller anonymiseres.
  • Jeg skriver under på jeres databehandleraftale (GDPR artikel 28) og NDA eller sender mine egne.
  • Helius ApS, CVR-nr. 46850297, momsnr. DK46850297, Danmark.

Siden er ikke juridisk rådgivning, og ingen enkelt leverandør gør jer compliant. Den viser, hvilke foranstaltninger mit arbejde giver jer dokumentation for.

Fortæl mig, hvad der er galt

Et par linjer om problemet er nok. Inden for én arbejdsdag svarer jeg med, hvad jeg tror, det er, hvor lang tid det cirka tager, og om I overhovedet har brug for mig. Nogle gange er det ærlige svar nej.

[email protected]

Jeg svarer inden for én arbejdsdag · Ingen kontaktformularer, ingen sporingspixels og ingen automatiske salgsmails.

På GitHub