Dere kan stole på oss

Smartvatten er sertifisert i henhold til ISO/IEC 27001:2022, den ledende internasjonale standarden for styringssystemer for informasjonssikkerhet. Denne sertifiseringen viser at våre sikkerhetskontroller er risikobaserte, reviderte og kontinuerlig forbedres.

• Informasjonssikkerhet håndteres systematisk og strukturert – ikke gjennom enkeltstående tiltak.

• Risikoer identifiseres, vurderes og håndteres gjennom en tydelig og etablert metodikk.

• Alle sikkerhetskontroller gjennomgås regelmessig av en uavhengig ekstern revisor.

• Sikkerhet er en naturlig del av den daglige driften og en grunnpilar i våre beslutningsprosesser.

Informasjonssystemer brukt til design, produksjon og salg av vannmålersystemer, i henhold til gjeldende Statement of Applicability (SoA) versjon 2.0 datert 17.09.2025.

Omfanget inkluderer Smartvattens virksomhetssteder i Finland samt europeiske datterselskaper. Sertifiseringens omfang og lokasjoner gjennomgås og vedlikeholdes som en sentral del av vårt styringssystem.

ISO 27001-sertifisering er ikke et engangstiltak. Vi opprettholder og utvikler sertifiseringen gjennom:

• interne revisjoner

• ledelsens gjennomganger

• korrigerende tiltak og kontinuerlig forbedring

• regelmessige eksterne oppfølgingsbesøk og resertifiseringsrevisjoner

Statement of Applicability (SoA) er et sentralt dokument i ISO 27001 som beskriver hvilke sikkerhetstiltak vi har implementert – og hvorfor.

Vår SoA:

• lister sikkerhetskontrollene i ISO 27001 vedlegg A

• definerer hvilke kontroller som er relevante for Smartvatten

• forklarer hvorfor enkelte kontroller er inkludert eller ekskludert

• dokumenterer implementeringsstatus for alle gjeldende kontroller

I praksis fungerer dokumentet som koblingen mellom vår risikovurdering og de faktiske sikkerhetstiltakene vi implementerer.

• Viser en risikobasert tilnærming – ikke bare en etterlevelsessjekkliste.

• Gir revisorer og interessenter transparens i valg av sikkerhetskontroller.

• Sikrer at tiltakene forblir tilpasset virksomhetens behov og regulatoriske krav.

Av sikkerhetsmessige hensyn behandles den fullstendige SoA som kontrollert dokumentasjon. Relevant informasjon kan imidlertid deles med kunder og partnere som del av en due diligence-prosess eller sikkerhetsvurdering.

CEO

• fastsetter informasjonssikkerhetspolicyen

• har det overordnede ansvaret for informasjonssikkerheten

Informasjonssikkerhetsansvarlig

• utvikler, vedlikeholder og overvåker ISMS

• overvåker risikostyring og kontrollenes effektivitet

Informasjonssikkerhetskomité

• bidrar med tverrfaglig tilsyn

• samordner sikkerhetsaktiviteter med virksomhetsmål

Mål, risikoer og resultater knyttet til informasjonssikkerhet gjennomgås regelmessig som en del av ledelsesprosessene. Dette sikrer at sikkerhetsarbeidet er tilpasset Smartvattens strategi og virksomhet.

Forretningskontinuitet

Sikre tilgjengelighet av kritiske tjenester ved avbrudd.

Sikker forretningsutvikling

Muliggjøre vekst, innovasjon og samarbeid på en sikker måte.

Risikostyring og bevissthet

Identifisere, vurdere og redusere informasjonssikkerhetsrisiko over tid.

Etterlevelse

Oppfylle sikkerhetskrav fra kunder, kontrakter og lovgivning.

Sikkerhetskultur

Bygge bevissthet og delt ansvar i hele organisasjonen.

Vårt ISMS følger en kontinuerlig forbedringssyklus som inkluderer:

• regelmessige risikovurderinger

• interne og eksterne revisjoner

• verifisering av sikkerhetstiltak

• opplæring og bevisstgjøring

• simulering av hendelser og evaluering

Policyen gjelder for:

• Smartvattens ansatte

• oppdragstakere og partnere

• underleverandører og relevante tredjeparter

• beskyttelse av konfidensialitet, integritet og tilgjengelighet

• forebygging og begrensning av sikkerhetshendelser

• etterlevelse av gjeldende lover, forskrifter og standarder

Smartvatten har etablerte prosedyrer for å:

• oppdage sikkerhetshendelser

• reagere på og håndtere hendelser

• eskalere og rapportere hendelser i henhold til etablerte retningslinjer

• sikker kommunikasjon via krypterte forbindelser

• tilgangskontroll og autorisasjonskontroller

• autentiseringsmekanismer for verifisering av identitet

• nettverkssikkerhet for systemer og enheter

Vi vurderer og håndterer sikkerhetsrisiko knyttet til:

• skyleverandører

• teknologileverandører

• tredjepartsleverandører

Dette inkluderer gjennomgang av relevante sertifiseringer, revisjonsrapporter og kontraktsfestede sikkerhetskrav.

Informasjonssikkerhet er integrert i alle faser av produkt- og programvareutvikling.

Smartvatten implementerer sikkerhetstiltak gjennom hele livssyklusen – fra design til drift og vedlikehold.

• risikobasert valg av sikkerhetstiltak

• minste privilegium og tilgangskontroll

• separasjon av miljøer

• kontinuerlig forbedring og læring

EU-direktivet NIS2 øker kravene til cybersikkerhet for kritiske sektorer gjennom krav om risikostyring og hendelsesrapportering.

Andre regelverk påvirker også Smartvattens sikkerhetsarbeid, inkludert:

• Cyber Resilience Act

• EU AI Act

• Radioutstyrsdirektivet (RED)

• lokale regulatoriske krav

Sikkerhetskrav tas i betraktning ved design av systemer og løsninger.

Arkitekturbeslutninger har som mål å redusere angrepsflaten og begrense skadeomfanget ved eventuelle hendelser.

Autentisering, autorisasjon og sikker kommunikasjon behandles som grunnleggende krav.

• Endringer i systemer og programvare er kontrollerte og sporbare.

• Tilgang til utviklings-, test- og produksjonsmiljøer er begrenset og rollebasert.

• Ansvarsområder og oppgaver separeres der det er hensiktsmessig for å redusere risikoen for uautoriserte eller ikke-gjennomgåtte endringer.

• Sikkerhetsrelevante kontroller verifiseres som en del av utviklings- og lanseringsaktiviteter.

• Identifiserte sårbarheter og svakheter spores og håndteres basert på risikonivå.

• Erfaringer fra hendelser, revisjoner eller testing brukes til å forbedre utviklingspraksis.

• Bruk av tredjepartskomponenter, biblioteker og tjenester vurderes fra et sikkerhets- og risikoperspektiv.

• Sikkerhetskrav til leverandører og skytjenester er tilpasset Smartvattens retningslinjer for informasjonssikkerhet.

• Relevante sertifiseringer, revisjonsrapporter og kontraktsmessige kontroller gjennomgås der det er relevant.

• Sikre konfigurasjoner benyttes når systemer tas i bruk.

• Logging, overvåking og tilgangskontroller bidrar til sikker drift.

• Sikkerhetsoppdateringer og forbedringer er en del av løpende vedlikehold og livssyklushåndtering.

Våre SDLC-praksiser støtter etterlevelse av:

• ISO/IEC 27001 vedlegg A-kontroller, inkludert sikker systemutvikling og endringshåndtering

• NIS2-krav til risikostyring, spesielt knyttet til systemsikkerhet, forebygging av hendelser og robusthet

• sikkerhetskrav fra kunder og partnere