NIS2 Artikel 21 → Microsoft 365, komplet implementerings-mapping

I skal have skriftlige politikker der dokumenterer hvordan I identificerer, vurderer og håndterer cyberrisici. Det er ikke nok at "vi tager sikkerhed alvorligt", der skal være konkrete dokumenter, der bliver opdateret regelmæssigt, og som ledelsen har godkendt.

• •Gå til Microsoft 365 Defender → Secure Score og baseline jeres nuværende score
• •Åbn Purview Compliance Manager og start en NIS2-assessment (eller IT-grundbeskyttelse som proxy)
• •Eksportér Compliance Manager-rapport månedligt som dokumentation
• •Dokumentér jeres egne politikker (kan skrives i SharePoint eller eksternt værktøj)

I skal kunne detektere, registrere, undersøge og rapportere cyberhændelser. NIS2 kræver tidlig advarsel inden 24 timer og formel rapport inden 72 timer. Det forudsætter at I overhovedet kan se hvad der sker i jeres miljø, og at I har et team eller en partner der reagerer.

• •Aktivér Defender for Business (BP) eller Defender XDR (E5) som primær detektion
• •Konfigurér automatiske svar-regler i Defender for kendte trusler
• •Opret en incident response-playbook (skriftlig procedure for hvem-gør-hvad)
• •Test playbooken med tabletop-øvelser mindst halvårligt
• •Konfigurér 24/7-vagt eller MDR-partner hvis I ikke har eget SOC

I skal kunne fortsætte forretningen efter en hændelse. Det betyder testede backups, dokumenterede recovery-tider (RTO/RPO), og en kriseberedskabsplan. Indbygget Microsoft 365-retention er IKKE backup, det er versionshistorik. Egentlig backup kræver Microsoft 365 Backup (add-on) eller tredjepartsløsning.

• •Konfigurér retention policies i Purview for Exchange, SharePoint og OneDrive
• •Vurdér om I skal købe Microsoft 365 Backup add-on (ransomware-rollback)
• •Dokumentér RTO/RPO pr. system
• •Skriv en kriseberedskabsplan med kontaktliste og eskalations-trin
• •Test recovery mindst halvårligt (tabletop eller live)

I skal styre sikkerheden hos jeres leverandører, ikke bare have dem på liste. Det betyder kontrakter med sikkerhedskrav, periodiske vurderinger og B2B-adgangsstyring. I er selv andres leverandør, så denne dokumentation bliver krævet af jer fra større kunder.

• •Lav CA-politikker for eksterne gæster (kræv MFA, kun managed devices)
• •Implementér leverandør-onboarding-proces med sikkerhedsspørgeskema
• •Anvend Information Barriers for at adskille datagrupper hvis I har konkurrerende kunder
• •Vedligehold leverandørregister med risk-rating
• •Få kontraktklausuler der kræver NIS2-lignende sikkerhed

Den mest "ude i kanten" kontrol for typiske SMV'er. Hvis I IKKE udvikler software, er kravet primært patch management og en simpel procurement-checkliste. Hvis I gør, bliver det enterprise-territorium med SAST/DAST, signed code og secret scanning.

• •Patch management: Konfigurér Intune Update Rings for Windows og Office
• •Procurement-checkliste: simpel skabelon, kræver leverandøren MFA? CMMC? ISO 27001?
• •Hvis I udvikler: Defender for Cloud DevOps integration + signed commits + Dependabot/Snyk
• •Vulnerability disclosure: publicér en security.txt-fil på domænet med kontakt-email

I skal regelmæssigt vurdere om jeres sikkerhedsforanstaltninger faktisk virker. Det er ikke nok at have politikker. I skal måle. Compliance Manager-assessments eller en årlig sikkerhedsrevision dækker kravet. Plus mødeprotokoller med action items og opfølgning.

• •Lav årlig Compliance Manager-assessment mod NIS2 (eller IT-grundbeskyttelse)
• •Konfigurér Audit Premium (E5 eller Purview Suite) hvis I har juridiske retention-krav
• •Hold kvartalsvise sikkerhedsreviews med ledelsen
• •Få ekstern revision mindst hvert andet år

Medarbejdere skal trænes regelmæssigt, phishing, password-hygiejne, hvordan man rapporterer en mistænkelig email. Best practice er kvartalsvise simulationer og årlig formel træning. Completion tracking pr. medarbejder skal kunne fremvises.

• •Konfigurér Attack Simulator med kvartalsvise phishing-kampagner
• •Opsæt træningskampagner for medarbejdere der falder for simulationer
• •Krev årlig formel awareness-træning (intern eller ekstern udbyder)
• •Track completion pr. medarbejder og dokumentér

Data skal være krypteret både under overførsel og i hvile (in transit og at rest). Microsoft 365 har dette som standard for cloud-tjenester, men endpoints kræver BitLocker (Windows Enterprise via E3+). Plus styring af krypteringsnøgler, for de fleste SMV'er er Microsoft-managed nøgler tilstrækkeligt.

• •Aktivér BitLocker via Intune device configuration profile
• •Opret Sensitivity Labels for klassificering (Fortroligt, Internt, Offentligt)
• •Konfigurér auto-labeling for følsomme data (kræver E5 eller Purview Suite)
• •Slå Message Encryption til for ekstern email-trafik
• •Skriv krypteringspolitik med nøglestyring

Hele medarbejder-livscyklussen: ansættelse → adgang → ændringer → afslutning. Plus styring af enheder og data. Mindste-privilegium (least privilege), joiner-mover-leaver-processer og regelmæssige access reviews. Intune giver jer overblik over hvilke enheder der eksisterer og hvem der har dem.

• •Dokumentér joiner-mover-leaver-processer skriftligt
• •Konfigurér Access Reviews (kvartalsvis for privilegerede roller, halvårligt for resten)
• •Anvend Entitlement Management for adgang til ressource-pakker
• •Brug Intune til central enhedsregistrering og fjernsletning ved offboarding
• •Privileged Identity Management (PIM) for admin-roller, kun just-in-time-adgang

MFA er ikke valgfrit længere, tilsynet spørger først efter dette. Plus krypteret kommunikation (Teams gør det som standard) og en plan for hvordan I kommunikerer hvis primær-systemet er nede. Conditional Access giver granulær MFA-håndhævelse, fx kun fra ukendte lokationer eller nye enheder.

• •Krev MFA på alle konti, inkl. service accounts hvor muligt
• •Konfigurér CA-politikker: MFA fra ukendte lokationer, blokér login fra højrisiko-lande, kræv compliant device for admin-portaler
• •Slå legacy auth fra (Basic Auth i Exchange)
• •Implementér passkeys eller FIDO2 for privilegerede konti
• •Beredskabskommunikation: dokumentér backup-kanal hvis Teams er nede (fx Signal, opkaldskæde)