Domänkontroller du kan belägga – för varje kund du förvaltar
Om du förvaltar domäner åt kunder – eller om din organisation har NIS2-relaterade skyldigheter att kunna styrka sin säkerhet – har frågan förändrats. Den är inte längre bara ”är konfigurationen rätt?” utan ”kan vi visa att den har varit rätt, hela tiden, när någon frågar?”
Merula bevakar det offentliga domänlagret – DNS, certifikat, e-postautentisering, transportsäkerhet och webbexponerad konfiguration – sparar historiken och gör den till underlag: med hänvisningar till erkända ramverk, möjligt att exportera och begripligt för personer som inte var med när posterna sattes upp.
Själva tjänsten är på engelska tills vidare.
Regelverket sakligt förklarat
NIS2 – direktiv (EU) 2022/2555 – är EU:s gemensamma ramverk för cybersäkerhet hos väsentliga och viktiga entiteter. Det gäller i hela unionen och införlivas i varje medlemsstats egen lagstiftning, med nationella behöriga myndigheter och nationella processer för registrering och incidentrapportering. Om du omfattas, vem du ansvarar inför och hur du registrerar dig är nationella frågor – den behöriga myndigheten i din medlemsstat publicerar kriterierna.
Det som är detsamma överallt är skyldighetens form. Det är inte ett engångsprojekt med ett slutdatum: organisationer som omfattas vidtar fortlöpande riskhanteringsåtgärder, rapporterar betydande incidenter och måste kunna visa båda delarna. Flera av de åtgärderna kan stödas av underlag från det offentliga domänlagret – säkerhet i leveranskedjan, säkerhet i nätverks- och informationssystem och bedömningen av hur effektiva åtgärderna faktiskt är: den konfiguration för DNS, e-postautentisering och transportsäkerhet som omvärlden kan se.
- Ett ramverk, i hela unionen
- Direktiv (EU) 2022/2555 fastställer gemensamma krav på säkerhet och rapportering för väsentliga och viktiga entiteter i varje medlemsstat. Kategorierna och skyldigheterna är gemensamma; detaljerna i genomförandet är nationella.
- Införlivat i nationell rätt
- Varje medlemsstat utser sin egen behöriga myndighet och fastställer sin registreringsprocess och sina tidsfrister för rapportering i den lag som införlivar direktivet. Den EU-gemensamma fristen för införlivande var den 17 oktober 2024; hur långt ditt land har kommit, och exakt vad det kräver av dig, är det första som är värt att reda ut – den behöriga myndigheten i ditt land publicerar kriterierna.
- Fortlöpande skyldigheter
- Riskhanteringsåtgärder, incidentrapportering och förmågan att visa båda – enhetligt i hela unionen. Det är här övervakning med historik gör verklig nytta.
Merula är teknisk övervakning, inte juridisk rådgivning – tjänsten stöder arbetet med att visa kontroller i domänlagret; den avgör inte om du omfattas och uppfyller inte kraven åt dig. De frågorna hör hemma hos dina juridiska rådgivare och din nationella tillsynsmyndighet.
Underlag när det efterfrågas
Varje kontroll som Merula kör har hänvisningar till de ramverk som granskare faktiskt citerar, och det aktuella säkerhetsläget kan tas ut ur tjänsten i en form som en revisionspärm godtar:
En CSV-fil med det aktuella säkerhetsläget för varje verifierad domän, med hänvisningar per ramverk – ISO/IEC 27001 Annex A, CIS Controls v8, NIST CSF 2.0, NIST SP 800-53 och SP 800-177, ENISA:s vägledningar – med tidsstämplar, på alla betalda planer. Det är hänvisningar till teknisk relevans, inte certifieringar.
Återkommande rapporter via e-post om säkerhetsläge och ändringar, ställda till de personer som behöver underlaget – även kundens egna intressenter.
Varje ändring loggas med föregående värde, nytt värde och tidpunkten då den skedde. Baslinjer som markerats som förväntade dokumenterar den förväntade konfigurationen – skillnaden mellan ”det är konfigurerat” och ”vi har beslutat att det ska vara konfigurerat så här”.
Hur varje kontroll förhåller sig till artikel 21 i NIS2 publiceras på förtroendesidorna – samma mappning som tjänsten visar, så att det du hänvisar till är något som vem som helst kan kontrollera.
Merulas resultat är tekniskt underlag som stöder bedömningen – i linje med och med hänvisningar till erkända ramverk, strukturerat för revisorer, upphandlare och interna granskningar.
Säkerhet i leveranskedjan – ett lager synliggjort
Riskhanteringsåtgärderna i NIS2 omfattar säkerhet i leveranskedjan – och för en IT-tjänsteleverantör (MSP) är det du som är leveranskedjan. Domänkonfigurationen du sköter åt kunderna är en del av deras säkerhetsläge, och i allt högre grad en del av det de måste kunna redogöra för.
Merula gör det ansvaret redovisningsbart utan krångel: varje kunds domäner kontrolleras kontinuerligt, varje avvikelse registreras med läget före och efter, och märkningen ”Managed by” i kundens egen instrumentpanel gör relationen öppen i stället för underförstådd.
Och där en kunds säkerhetsläge kan bli starkare visar Merula vägen utan gissningar: e-postautentisering och transportsäkerhet skärps i etapper – DMARC från övervakning till reject, MTA-STS från rapportering till enforce – och varje kunds mottagna aggregerade rapporter hjälper dig att bedöma nästa steg, med hänsyn till rapporternas täckning och fördröjning, så att du kan höja en hel kundportfölj med eftertanke i stället för allt på en gång.
Ansvaret för en domäns offentliga konfiguration delas allt oftare mellan flera leverantörer – en registrar här, en DNS-leverantör där, en e-postleverantör någon helt annanstans. Merula håller de här signalerna, som går att observera utifrån, synliga för varje kunddomän utan att behöva åtkomst till någons interna system, så att en ändring i en leverantörs hörn inte passerar obemärkt.
Det stegvisa arbetssättet har stöd i erkänd nationell vägledning: brittiska National Cyber Security Centre rekommenderar att en domän förs mot en tvingande DMARC-policy i steg, där varje steg bekräftas med rapporterna innan nästa tas. Det är den genomtänkta härdningen av hela portföljen som Merula är byggd för att stödja – att lyfta ett helt domänbestånd varsamt i stället för allt på en gång.
Läs mer: NCSC: Email security and anti-spoofing (på engelska) ↗
Byggt för att förvalta många
Partnerlagret är medvetet lätt – de delar som en MSP faktiskt använder, utan någon portal att administrera:
- Ett partnerkonto som förvaltar separata kundkonton, vart och ett med egna domäner, egna medlemmar och egen historik.
- Samlad fakturering – ett abonnemang, mätning per domän, inga fakturor per kund att jaga.
- Öppenhet mot kunden: förvaltade konton visar vem som förvaltar dem, och kunderna kan få en egen inloggning till samma lugna vy.
- Aviseringar dit varje team redan arbetar – e-post, Slack, Microsoft Teams eller signerade webhooks till dina egna system, avgränsade per kund så att rätt signal når rätt konto.
- Partnerpriser för byråer, MSP:er och tjänsteleverantörer som förvaltar domäner åt kunder – via partnerprogrammet.