DCC-nedtællingen er startet

Hvorfor niveau 0 ikke kan vente til december

Forsvarsministeriet har sat den 31. december 2026 som mål for, at alle branchepartnere opnår Defence Cyber Certification niveau 0. For organisationer, der opererer hvor som helst i forsvarets forsyningskæde, er tiden til at begynde forberedelserne nu.

Fem måneder kan lyde som en behagelig mængde tid.

Men når en organisation først har taget højde for at definere sit omfang, identificere forretningskritiske systemer, håndtere sikkerhedshuller, gennemføre Cyber Essentials, indsamle dokumentation og sikre en vurderingsplads, begynder det vindue hurtigt at blive snævrere.

Forsvarsministeriet har bedt alle industripartnere om at opnå niveau 0 i Defence Cyber Certification-ordningen senest den 31. december 2026. Denne forventning rækker ud over de store forsvarsentreprenører til underleverandører, teknologileverandører, producenter og professionelle serviceorganisationer, der støtter dem.

Hvad er Defence Cyber Certification?

Defence Cyber Certification, eller DCC, er en organisationsdækkende assurance-ordning designet til at styrke cyberresiliensen i hele den britiske forsvarsforsyningskæde.

Der er fire certificeringsniveauer, fra niveau 0 til niveau 3, tilpasset den cyberrisiko, der er forbundet med de kontrakter, en organisation har. Niveau 0 er basisniveauet og er beregnet til organisationer, der opererer under kontrakter med en meget lav cyberrisikoprofil.

For at opnå niveau 0 skal en organisation have en aktuel Cyber Essentials-certificering, der dækker alle relevante forretningskritiske systemer inden for omfanget. Den skal også udfylde spørgeskemaet til leverandørassurance på niveau 0 i overensstemmelse med kravene i DEFSTAN 05-138.

Selvom DCC i øjeblikket ikke er et generelt lovkrav, har MoD bedt alle branchepartnere om at opnå niveau 0. Hvor DEFCON 658 er inkluderet i en kontrakt, kan DCC blive en kontraktlig forpligtelse snarere end blot en forventning.

Den skelnen betyder noget. Organisationer, der udsætter, kan risikere at blive konfronteret med spørgsmål fra hovedentreprenører, kunder og indkøbsteams, før de er klar til at besvare dem.

Cyber Essentials kommer først

For organisationer uden Cyber Essentials er dette den mest umiddelbare prioritet.

Cyber Essentials er ikke en separat, valgfri øvelse, der kører sideløbende med DCC. Det er en forudsætning. Niveau 0-certificering kan ikke tildeles, medmindre Cyber Essentials allerede er på plads på tværs af de relevante systemer.

Organisationer, der allerede har Cyber Essentials, bør ikke automatisk antage, at de er klar. Omfanget af deres eksisterende certificering skal omfatte alle relevante forretningskritiske systemer, der kræves til DCC. Ændringer i infrastruktur, fjernarbejdsordninger, cloud-tjenester, enheder eller operationelle processer kan betyde, at omfanget skal revurderes.

Processen bør derfor begynde med tre spørgsmål:

• Hvilke kontrakter og kunder placerer organisationen inden for omfanget?
• Hvilke systemer, brugere og lokationer understøtter disse kontrakter?
• Dækker organisationens eksisterende Cyber Essentials-certificering dem alle?

En kanalmulighed såvel som en overholdelsesfrist

For MSP'er og cybersikkerhedspartnere skaber DCC en vigtig mulighed for at hjælpe kunder med at forstå et krav, som de måske endnu ikke er klar over gælder for dem.

Mindre forsvarsleverandører har sandsynligvis ikke store interne governance-, risiko- og compliance-teams. Mange vil henvende sig til deres eksisterende teknologipartner for at få hjælp til at identificere deres forpligtelser, forstå deres beredskab og gennemføre certificeringsrejsen.

CyberSmart er et IASME-akkrediteret DCC-certificeringsorgan og kan vurdere organisationer til niveau 0 og niveau 1. Deres service kan dække omfangsbekræftelse, Cyber Essentials-certificering og den efterfølgende DCC-vurderingsproces. CyberSmart gør det også muligt for MSP'er at støtte kunder i forsvarssektoren gennem samme rejse.

Gennem Hammer Cybersecurity og CyberSmart kan partnere indlede proaktive samtaler med kunder, før hastende behov bliver til panik.

Beskeden til forsvarsforsyningskæden er ligetil: 31. december kan være deadline, men december er ikke måneden til at starte.