Så kommer ni igång – steg för steg
- Identifiera de regelverk som är tillämpliga för er verksamhet: kartlägg vilka regelverk som omfattar er verksamhet utifrån bransch, marknader, kundsegment och samhällskritisk roll. Dokumentera vilka krav som gäller och säkerställ en tydlig ansvarsfördelning för respektive regelverk.
- Gör gap-analys mellan regelverken och verksamhetens nuläge: analysera skillnaden mellan regelverkskraven och er nuvarande mognadsnivå. Är ni redan ISO 27001-certifierade? Har ni ett befintligt ledningssystem som kan fungera som grund? Inventera befintliga processer, styrdokument och kontroller innan ni bygger nytt.
- Mappa kontroller för att undvika dubbelarbete: väldigt mycket av det som gäller för Dora gäller även för NIS2 eller ISO27001. Säkerställ att ni inte dubbelarbetar. Om någon del behöver utökas för att leva upp till ett specifikt regelverk, se till att ni inte skapar en helt parallell struktur av information och verktyg.
- Driv arbetet som ett prioriterat projekt: att anpassa verksamhet, processer, IKT-tjänster, strukturkapital, tredjepartsavtalshantering, tekniska verktyg kräver dedikerade resurser. Tillsätt projektledning, säkra finanisering och ge tydligt ansvar och mandat.
- Integrera cybersäkerhet i ordinarie verksamhet: cybersäkerhet är inte en engångsgrej. Arbeta in regelverkskraven i förvaltningsorganisation och i ordinarie verksamhet; onboardingprocess, upphandling, logganalys, bakgrundskontroller – säkerställ att verksamheten fortsätter jobba i enlighet med regelverken när projektet tar slut.
