Case: Nordfyn Vand og Energi

Forfatter: Mathias Greisen

Dato: 2026-09-29

Fag/modul: IT-Governance

Status: Færdig

1. Beskrivelse af øvelsen

Baggrund

Nordfyn Vand & Energi A/S er et mellemstort forsyningsselskab med:

110 ansatte
Drift af vandværker
Distribution af drikkevand til 65.000 borgere
SCADA-systemer til styring af pumper og trykforhold
Eget datacenter på hovedlokationen
Flere eksterne leverandører
Fjernadgang for teknikere

Virksomheden er blevet informeret om, at den er omfattet af NIS2.

Direktionen har derfor bedt jer om at udarbejde et oplæg til virksomhedens første NIS2- program.

Situation

Leverandørafhængighed
- SCADA-systemet leveres af firmaet AquaControl.
  - Kun AquaControl kan opdatere systemet.
  - Kontrakten indeholder ingen cybersikkerhedskrav.
  - Leverandøren har ikke fremlagt dokumentation for sikkerhedsforanstaltninger.
  - Serviceaftalen udløber om 11 måneder.
IT-drift
- IT-chefen oplyser:
  - "Vi har antivirus på alle klienter. Vi har dog ikke et samlet overblik over alle aktiver. Der findes flere ældre servere, som ingen helt ved, hvad bruges til."
Ledelsen
- Direktøren siger:
  - "Sikkerhed er vigtigt, men vi har kun afsat 500.000 kr. næste år til området."
Hændelse
- For to måneder siden blev en tekniker udsat for phishing.
  - Konsekvens:
    - Adgangskode blev kompromitteret.
    - Angrebet blev opdaget efter 48 timer.
    - Der findes ingen formel hændelsesrapport.
    - Hændelsen blev aldrig behandlet på ledelsesniveau.
Beredskab
- Der findes:
  - Backup
  - Generator ved datacenter
- Men ingen:
  - Dokumenteret kriseplan
  - Test af beredskabsplaner
  - Øvelser
Organisation
- Der er ikke udpeget:
  - CISO
  - Sikkerhedsansvarlig
  - NIS2-ansvarlig
IT-chefen løser "det meste"

2. Opgaver og besvarelser

Opgave 1: Omfattet af NIS2?

Analyser virksomheden og argumentér for:

Hvorfor virksomheden er omfattet af NIS2.
- Virksomheden er omfattet af NIS2, fordi den hører under vandsektoren.
Hvilken type organisation den sandsynligvis er.
- Virksomheden er af den vigtige type da vand selvfølgelig er kritisk, men da virksomheden er mellemstor (mellem 50 og 250 personer) og leverer til et begrænset område, vil et nedbrud ikke lamme hele samfundet hurtigt (Man må evt. fragte drikkevand andre steder fra).
Hvilke kritiske tjenester der skal beskyttes.
- SCADA-systemer
  - kritisk for at kunne distribuere vand
  - leveres af ekstern leverandør (Leverandør)
- Leverandører
  - sikkerhed i hele supply chain
  - de har flere eksterne leverandører
  - trusselsaktører vil bare gå efter det svageste led
- Datacenter
  - muligvis kritisk for at deres systemer kan køre, her blandt andet SCADA-systemerne
  - virker backup? (test)
  - krise og beredskabsplan? test?
- Fjernadgang
  - en tekniker er blevet ramt af phising, så her kunne adgang være blevet givet.
  - er det beskyttet med MFA og/eller er det nødvendigt at have?

Opgave 2: GAP-analyse

Vurder virksomhedens modenhed.

Udarbejd en GAP-analyse mellem:

Nuværende situation
NIS2-krav

Anvend følgende kategorier:

Ledelse
Governance
Hændelseshåndtering
Leverandørstyring
Risikostyring
Kontinuitetsplanlægning
Adgangsstyring

Forklar:

Hvad mangler?
Hvor alvorligt er det?
Hvorfor?

Leverance

Tabel med begrundelser.

Kategori	Nuværende situation	NIS2-krav	Mangler	Alvorlighed	Begrundelse
Ledelse	Ledelsens har afsat 500.000 kr for næste år. Ledelsen har ikke noget ansvar for sikkerheden. Der er defineret hvem der tager sig af specifikke dele, kun at IT-chefen tager sig af det meste.	Der er krav til at ledelsen tager ansvaret, men må godt uddelegere arbejdet	Ledelsen tager ikke ansvar. Ikke konkret fordeling af arbejdet	Meget alvorligt	Dette er et af de største krav i forhold til NIS2 som de ikke lever op til
Governance	Der virker til at være meget lidt virksomhedsstyring inden for sikkerhedsområdet	NIS2 stiller krav til at ledelsen skal sikre at følgende finder sted: sikkerhedsforansatalninger, tilsyn, kompentenceudvikling, korrigering	Fra ledelsens side virker det til at det hele mangler da de ikke har dokumentation eller styr på deres governance	Meget alvorlig	Uden governance har de ikke styr på hvad der rent faktisk er implementeret og ikke implementeret, de overholder altså ikke NIS2 da de skal kunne bevise at de udfører governancne (virksomhedsstyring) inden for sikkerhedsområdet
Hændelseshåndtering	Mangler fra ledelsens side. Phising angreb blev ikke behandlet af ledelsen	NIS2 gør krav til at ledelsen sikrer at der f.eks. i det nævnte tilfælde korrigeres for at løse problemet og mindste sandsynlgiheden i fremtiden. Dette kan de ikke uden at behandle tilfældet, da de som minimum skal have nogen til at dokumentere det	De mangler hændelseshåndtering i forhold til Artikel 21, krav 2	Meget alvorlig	Hvis de ikke kan håndtere hændelser korrekt, så kan de heller ikke korrigere så det ikke sker igen
Leverandørstyring	Der er ingen cybersikkerhedskrav til deres leverandør som de er afhængig af. Der er heller ikke dokumentation for sikkerhedsforanstalninger fra leverandøren	NIS2 kræver at man stiller sikkerhedskrav alt efter kritikalitet og afhængighed. Og at virksomheden følger op på og indhenter dokumentation på at kravene opfyldes	Der er stor afhængighed da kun leverandør kan opdatere, men der er ingen sikkerhedskrav, dermed ingen opfølgning og dermed ingen dokumentation	Meget alvorlig	Uden sikkerhedskrav og tjek på at de er opfyldt betyder at leverandøren pludselig er en meget stor sikkerhedsrisiko som ledelsen ikke har taget ansvar for
Risikostyring	Der findes ikke tegn på risikostrying, altså dokumentation på dette. Der er dog enkelte sikkerhedspolitikker som f.eks. antiviurs på alle klienter	NIS2 stiller krav til at risikovurderinger, informationssikkerhedspolitik, risikoaccept og revurdering er opsat og dokumenteret. Ledelsen har igen ansvaret for dette	Der mangler opfyldelse af det hele, ihvertfald er der ikke dokumentation på at det hele eller dele heraf er opfyldt	Meget alvorlig	Uden risikostyring er der ikke styr på sandsynligheden for nedbrud/angreb og heller ikke på konsekvensen heraf. Dermed kan man ikke fordele sine midler (økonomi) til de mest kritiske steder og dermed vil sikkerheden højst sandsynligt ikke være den bedst mulige med de givne midler
Kontinuitetsplanlægning	Der er backup og generator ved datacenter. Begge dele er dog ikke testet eller dokumenteret da kriseplan ikke findes og der har ikke være udført test/øvelser af beredskabplan	NIS2 gør krav til backup, prioritering af kritiske tjenester, distatser reovery, RTO, RPO og kriseledelse. Alt dette skal øves/testes og dokumenteres	Der mangler dokumentation i form af planer og øvelse/test af disse planer. Samtidigt er der ikke taget stilling til RTO og RPO.	Meget alvorlig	Uden dette vil virksomheden højst sandsynligt tage længere tid om at komme tilbage i drift efter et nedbrud. Dette er meget alvorligt da man leverer drikkevand som helst skal op og køre igen indenfor en fastlagt tid eller med nødplaner hvis det ikke er muligt
Adgangsstyring	Der findes en form for adgangsstyring da et password var blevet kompromitteret ved tidligere hændelse	NIS2 stiller krav til MFA, stærk autentificering samt dokumentation af dette (også logning af autentifikationer mod systemet)	Der mangler MFA, stærkere autentificering og dokumention omkring politikker for dette. Med logning (eller ihvertfald bedre logning) ville phising angreb måske være blevet opdaget hurtigere end 48 timer	Alvorlig	De mangler MFA hvilket er alvorligt, men de har allerede nogle implementeringer som gør at et tidligere angreb blev opdaget, der skal bare dokumenteres bedre og korrigeres (MFA implementering)

Opgave 3: Prioritering under budgetbegrænsning

Virksomheden har kun 500.000 kr.

I må vælge maksimalt fem initiativer.

Initiativ	Pris
Asset Management projekt	150.000
Awareness træning	50.000
SIEM løsning	300.000
Incident Response proces	80.000
Leverandøraudit	120.000
Risikoanalyse	90.000
Beredskabsøvelse	70.000
MFA på alle konti	130.000
Sårbarhedsscanning	100.000

Opgave

Vælg fem initiativer.

Argumentér for: - hvorfor de vælges - hvorfor de øvrige fravælges

Valgte intiativer:

Risikoanalyse
- er valgt da de ikke kan prioritere intiativer uden at kende til deres risici først. Dermed kan dette intiativ ændre resten af listen.
Beredskabsøvelse
- er valgt da de pt står uden planer og øvelser på området samtidigt med at de pt. har stor risiko for at skulle bruge dem.
MFA på alle konti
- er valgt da de tidligere er blevet ramt hvor dette netop kunne have hjulpet. MFA skal måske også tilføjes i samarbejde med leverandør som dermed også kan styrke deres produkter som f.eks. SCADA-systemet.
Leverandøraudit
- er vlagt da de skal have styr på deres leverandør som de er meget afhængig af. SCADA-systemet er også vigtigt for deres drift, og de bør derefor kræve og sikre at der er sikkerhed indbygget i udviklingsprocessen.
Incident response proces
- er valgt da træning i at reagere, stoppe, dokumentere og lære af en incident er vigtigt for netop denne virksomhed (vandforsyning) så de kan lære af processen og korrigere.

De øvrige fravalg begrundet:

Asset Management projekt
- fravlgt grundet den høje pris samt at en risikoanalyse måske alligevel vil kunne finde og dokumentere deres aktiver
Awareness træning
- fravalgt da MFA er blevet prioriteret. MFA og logning heraf kan forhåbentligt også stoppe de fleste social engineering angreb.
SIEM løsning
- fravalgt grundet prisen. Kan faktisk slet ikke lade sig gøre hvis man skal vælge 5 intiativer.
Sårbarhedsscanning
- Da der allerede er antivirus på alle klienter bør dette ikke være en nødvendig prioritering med det begrænsede budget.

Opgave 4: Ledelsesansvar

NIS2 stiller krav til ledelsen.

Forestil jer, at direktøren spørger:

"Hvorfor skal jeg involveres? Kan IT ikke bare håndtere det?"

Svar:

Det kan ikke lade sig gøre i følge NIS2 da det er ledelsen som har ansvaret. Dette skal sikre at ledelsen tager sikkerheden alvorligt. Altså hvis man ikke vil involveres kan man heller ikke sidde i ledelsen for en virksomhed der skal leve op til NIS2.

Opgave 5: Hændelsesrapportering

Forestil jer, at phishing-hændelsen sker igen.

Denne gang medfører angrebet:

Nedlukning af vandforsyningen i 8 timer
20.000 berørte borgere

Opgave

Forklar/argumenter ud fra NIS2-principper:

Hvorfor hændelsen er vigtig efter NIS2.
- Den er vigitg da det er en hændelse som før er sket. Dermed har man altså ikke korrigeret korrekt når det nu kan ske igen med så stor nedetid for så mange borgere.
Hvilke interne handlinger virksomheden bør iværksætte.
- De skal først have stoppet hændelsen og få alt tilbage til normal drift.
- Derefter skal de analysere risikoen, opsætte kontroller, dokumentere og forbedre sig så risikoen i fremtiden kan accepteres.
Hvilke oplysninger ledelsen bør efterspørge.
- De bør efterspørge dokumentation omkring hændelsen for derefter at sikre udvikling af nye kompetencer og korrigere for evt. mangler.

Opgave 6: Bestyrelsesmøde

Forestil jer, at I skal præsentere jeres analyse for bestyrelsen.

Bestyrelsen vil kun høre de:

Tre største risici:
1. Manglende ansvar fra ledelsen og manglende dokumentation
2. Manglende sikkerhed internt og i supply chain
3. Manglende hændelseshåndtering og krisestyring
Tre vigtigste anbefalinger:
1. Ledelsen skal tage ansvar og sørge for dokumentation af dette.
2. Foretag en risikovurdering for virksomheden, analyser risikoer, prioriter dem og tag beslutninger om hvad der skal gøres.
3. Opret politikker for hændelseshåndtering og krisestyring. Med krav til øvelser/tests af disse.