Utöver de fyra övergripande kraven kräver NIS2 att väsentliga och viktiga enheter implementerar grundläggande säkerhetsåtgärder för att hantera specifika former av sannolika cyberhot. Dessa inkluderar:

– Riskbedömningar och säkerhetspolicyer för informationssystem.

– Policyer och rutiner för att utvärdera effektiviteten av säkerhetsåtgärder.

-Policyer och rutiner för användning av kryptografi och kryptering.

– En plan för hantering av säkerhetsincidenter.

– Säkerhet vid upphandling, utveckling och drift av system. Detta innebär att det ska finnas policyer för hantering och rapportering av sårbarheter.

– Cybersäkerhetsutbildning och rutiner för grundläggande datorsäkerhet.

– Säkerhetsrutiner för anställda med åtkomst till känslig eller viktig data, inklusive policyer för dataåtkomst. Berörda organisationer måste också ha en översikt över alla relevanta tillgångar och säkerställa att de hanteras och används korrekt.

– En plan för att hantera affärsverksamheten under och efter en säkerhetsincident. Detta innebär att säkerhetskopior måste vara uppdaterade. Det måste också finnas en plan för att säkerställa åtkomst till IT-system och deras funktioner under och efter en säkerhetsincident.

– Användning av multifaktorautentisering, kontinuerliga autentiseringslösningar, röst-, video- och textkryptering samt krypterad intern nödkommunikation när det är lämpligt.

– Säkerhet kring leveranskedjor och relationen mellan företaget och direkta leverantörer. Företag måste välja säkerhetsåtgärder som passar de sårbarheter varje direktleverantör har, samt bedöma den övergripande säkerhetsnivån för alla leverantörer.