Fagstoff

OT-sikkerhet i endring: NIS2 gjør asset management til lederansvar

Skrevet av Stig Mortvedt | 24. april 2025

Kritisk infrastruktur har lenge vært skjermet fra det bredere trusselbildet. Men grensene mellom IT og OT viskes ut, og med det nye NIS2-direktivet er sikkerhet blitt et styre- og ledelsesansvar. Det betyr at man må vite hva man har, hva det gjør, og hva som kan gå galt – i hele nettverket, på tvers av IT, OT og IoT.

Asset management – tidligere sett på som en teknisk katalogtjeneste – blir nå en nøkkel til risikostyring, compliance og hendelseshåndtering. Spørsmålet blir ikke bare om dere har kontroll – men om dere kan dokumentere det

 

Effektiv Asset Management for NIS2-overholdelse 

Med det nye NIS2-direktivet stilles det strengere krav til cybersikkerhet i kritisk infrastruktur – spesielt innen sektorer som energi, vannforsyning, transport og helse. En av kjernekomponentene i NIS2 er oversikt og kontroll over digitale eiendeler, altså asset management. For mange virksomheter i OT-sektoren er dette en krevende oppgave grunnet komplekse, flate nettverk og mange uregistrerte eller uoppdaterte enheter. Her kommer Armis Centrix plattformen inn som en sentral løsning. 

 

NIS2 og krav til asset management 

NIS2 krever blant annet: 

  • Full oversikt over alle digitale eiendeler/assets i nettverket 
  • Risikovurdering av alle eiendeler/assets 
  • Tiltak for å sikre sårbare enheter/assets 
  • Rapporteringsevne ved hendelser og avvik 

Virksomheter må kunne identifisere, kategorisere, overvåke og sikre alle digitale eiendeler – ikke bare i IT-nettverket, men også i OT- og IoT-miljøer. Dette krever en løsning som gir total oversikt  på tvers av hele infrastrukturen – uten å forstyrre driften. Enda mer konkret:

 

Hvorfor fungerer ikke IT-verktøy i OT-miljøer?

Mange virksomheter forsøker å bruke tradisjonelle IT-verktøy for å få oversikt over enheter og systemer i operasjonelle miljøer (OT) – men møter raskt veggen. Grunnen er at OT-nettverk er fundamentalt annerledes enn IT-nettverk:

  • Gamle systemer uten sikkerhetsfunksjoner: Mange OT-enheter er utviklet for stabil drift, ikke cybersikkerhet. De har ingen innebygd kryptering, autentisering eller oppdateringsmekanismer – og kan derfor ikke håndtere aktiv scanning eller agenter som IT-verktøy krever.

  • Lukkede og proprietære protokoller: OT-kommunikasjon skjer ofte med proprietære protokoller som er vanskelige å tolke for IT-verktøy – noe som gjør det krevende å identifisere og forstå hva slags enhet det faktisk er snakk om.

  • Fravær av logging og identitet: IT-systemer er ofte brukersentrerte, med tydelig autentisering, logging og rollebasert tilgang. OT-enheter opererer ofte anonymt og gir lite informasjon om hva som skjer, når, og av hvem.

  • Ingen rom for nedetid: I kritisk infrastruktur som vannforsyning, strømnett og transport, kan en feilscanning skape produksjonsstans eller driftsforstyrrelser. Derfor er passiv overvåking eneste realistiske løsning.

Disse forskjellene gjør at tradisjonelle IT-løsninger ikke gir den oversikten, kontrollen eller tryggheten som NIS2 krever i OT-miljøer. Det trengs spesialtilpassede løsninger som er bygget for denne virkeligheten – som Armis Centrix.

  

Slik gir Armis deg full OT-oversikt – uten å forstyrre driften

Armis er en agentløs, passiv plattform spesialutviklet for OT og IoT. Den gir: 

  • Full synlighet: Oppdager alle enheter – inkludert "usynlige" OT- og IoT-enheter – uten å påvirke driften. 
  • Sanntidsmonitorering: Overvåker trafikkmønster for å detektere avvik. 
  • Risikoprofilering: Tildeler risikopoeng basert på sårbarheter, bruk og eksponering. 
  • Integrasjon med SIEM/SOAR, CMDB og sikkerhetsverktøy for bedre styring. 
  • Compliance-rapporter: Gir rapporter og dashboards som direkte støtter kravene i NIS2. 

 

Eksempel: Asset management i et energiselskap 

Et typisk energiselskap har SCADA-systemer, HMI-er, PLS-er og et mylder av sensorer og eldre utstyr. Ved å bruke Armis kan selskapet: 

  • Oppdage og katalogisere alle enheter, inkludert de som ikke er dokumentert 
  • Identifisere PLS-er med kjente sårbarheter (f.eks. CVE-er) og iverksette tiltak 
  • Se trafikkmønstre mellom IT og OT, og identifisere uautoriserte forbindelser 
  • Dokumentere etterlevelse og beredskap i henhold til NIS2-artiklene 

 

Hvem passer Armis for?

Armis Centrix er utviklet for virksomheter med store, komplekse nettverk og høye krav til sikkerhet og etterlevelse – typisk innen kritisk infrastruktur, industri, energi og transport. Løsningen er spesielt godt egnet for:

  • Virksomheter med et stort antall OT-, IoT- og IT-enheter

  • Selskaper som må overholde NIS2 og andre regulatoriske krav

  • Organisasjoner som trenger full oversikt og sanntidsrisikovurdering uten å påvirke driften

For mindre virksomheter med færre enheter og enklere nettverk kan det være mer hensiktsmessig med alternative verktøy tilpasset deres behov og ressurser.

 

Kort oppsummert 

NIS2 setter søkelys på risikostyring, oversikt og kontroll over digitale eiendeler. Uten god asset management er det vanskelig å møte kravene. Armis Centrix gir virksomheter i OT-sektoren en praktisk, effektiv og skalerbar måte å møte NIS2 på – uten å kompromittere driftssikkerheten. Ønsker du en demo tar vi gjerne en gjennomgang! Kontakt meg på Stig@lastmile.no, så hører du fra meg innen kort tid.