Forsvarsdepartementet har satt 31. desember 2026 som mål for at alle industrip partnere skal oppnå Defence Cyber Certification Level 0. For organisasjoner som opererer hvor som helst i forsyningskjeden for forsvar, er tiden for å begynne forberedelsene nå.
Fem måneder kan høres ut som en behagelig mengde tid.
Men når en organisasjon først har definert sitt omfang, identifisert forretningskritiske systemer, adressert sikkerhetshull, fullført Cyber Essentials, samlet inn dokumentasjon og sikret seg en vurderingstid, begynner dette vinduet raskt å bli smalere.
Forsvarsdepartementet har bedt alle industripartnere om å oppnå nivå 0 i Defence Cyber Certification-ordningen innen 31. desember 2026. Denne forventningen strekker seg utover de store forsvarsentreprenørene til underleverandører, teknologileverandører, produsenter og profesjonelle tjenesteleverandører som støtter dem.
Hva er Defence Cyber Certification?
Defence Cyber Certification, eller DCC, er en organisasjonsdekkende sertifiseringsordning designet for å styrke cybermotstandskraften i den britiske forsvarsforsyningskjeden.
Det er fire sertifiseringsnivåer, fra nivå 0 til nivå 3, tilpasset cyberrisikoen knyttet til kontraktene en organisasjon innehar. Nivå 0 er grunnlinjen og er ment for organisasjoner som opererer under kontrakter med en svært lav cyberrisikoprofil.
For å oppnå nivå 0, må en organisasjon ha en gjeldende Cyber Essentials-sertifisering som dekker alle relevante forretningskritiske systemer innenfor omfanget. Den må også fullføre leverandørforsikringsskjemaet for nivå 0 i samsvar med kravene i DEFSTAN 05-138.
Selv om DCC for øyeblikket ikke er et generelt juridisk krav, har MoD bedt alle industrip partnere om å oppnå nivå 0. Der DEFCON 658 er inkludert i en kontrakt, kan DCC bli en kontraktsmessig forpliktelse snarere enn bare en forventning.
Den forskjellen betyr noe. Organisasjoner som utsetter, kan finne seg selv i å måtte svare på spørsmål fra hovedentreprenører, kunder og innkjøpsteam før de er klare til å svare.
Cyber Essentials kommer først
For organisasjoner uten Cyber Essentials er dette den mest umiddelbare prioriteringen.
Cyber Essentials er ikke en separat, valgfri øvelse som kjører parallelt med DCC. Det er en forutsetning. Nivå 0-sertifisering kan ikke tildeles med mindre Cyber Essentials allerede er på plass i de relevante systemene.
Organisasjoner som allerede har Cyber Essentials, bør ikke automatisk anta at de er klare. Omfanget av deres eksisterende sertifisering må inkludere alle relevante forretningskritiske systemer som kreves for DCC. Endringer i infrastruktur, fjernarbeidsordninger, skytjenester, enheter eller operasjonelle prosesser kan bety at omfanget må gjennomgås.
Prosessen bør derfor begynne med tre spørsmål:
En kanalmulighet så vel som en overholdelsesfrist
For MSP-er og cybersikkerhetspartnere skaper DCC en viktig mulighet til å hjelpe kunder med å forstå et krav de kanskje ikke ennå innser gjelder dem.
Mindre forsvarsleverandører er usannsynlig å ha store interne styrings-, risiko- og overholdelsesteam. Mange vil se til sin eksisterende teknologipartner for å få hjelp til å identifisere sine forpliktelser, forstå sin beredskap og fullføre sertifiseringsreisen.
CyberSmart er et IASME-akkreditert DCC-sertifiseringsorgan og kan vurdere organisasjoner for nivå 0 og nivå 1. Tjenesten kan dekke bekreftelse av omfang, Cyber Essentials-sertifisering og den påfølgende DCC-vurderingsprosessen. CyberSmart gjør det også mulig for MSP-er å støtte kunder i forsvarssektoren gjennom samme reise.
Gjennom Hammer Cybersecurity og CyberSmart kan partnere starte proaktive samtaler med kunder før haster blir til panikk.
Meldingen til forsvarsforsyningskjeden er enkel: 31. desember kan være fristen, men desember er ikke måneden for å starte.