NIS2 gives you 24 hours. Could you say what happened in 10 minutes?

• 24 h
  early warning - whether a malicious act is suspected, whether the impact may be cross-border
• 72 h
  incident notification - initial severity and impact, the indicators of compromise known so far
• 1 month
  final report - detailed description, root cause, applied and ongoing mitigation
• 10 minutes
  to know what happened: detector, actor, device, country, data touched, actions taken - from one drawer

The walkthrough

From the detection to the authority, on screens.

Each beat is a screen with a button and an artifact at the end, not a workshop. Run it as a drill first.

1. 01

   The clock starts with a detection

   On Anomalies a detector fires - a download spike against the account's own 30-day baseline, a high-risk sign-in, a prompt injection attempt, active access from a country your location list does not name. It opens as an episode with an effective severity: escalated by an extreme score, lifted when a second detector holds an open episode on the same entity, replaced by your verdict. The queue puts correlated entities first, so the row to open is at the top.

2. 02

   Know what happened in one drawer

   The drawer answers the authority's first questions: the detector and the entity, the baseline against what was observed, the activity in the incident window with each event attributed to actor, resource, application, device and location, and the IP addresses, network providers and countries that become the indicators of compromise. Locations says whether the place is a home network, a VPN, Tor or a datacenter and whether a cross-border impact is plausible; the travel trail marks an impossible hop as such.

3. 03

   Contain it and leave a record

   Respond offers curated containment for the entity - disable the account, revoke the grants, quarantine the agent - running through the Action Center with who requested it, when it ran, whether Microsoft confirmed it and the revert that undoes it. Every status change, severity verdict, requested action and comment lands on History & Comments as it happens: the incident-handling record Article 21(2)(b) expects, written by the work itself.

4. 04

   Generate the early warning, then the notification, then the final report

   Report in the drawer opens the report builder on that one detection. Three templates follow Article 23(4) point by point: the NIS2 early warning, the NIS2 incident notification and the NIS2 final report. The drawer's tabs become sections, you write what no system can know - description, impact, root cause, mitigation, the significance and cross-border assessment, printed as Yes, No or Not established - and download PDF, PowerPoint, HTML, CSV or JSON in seven languages. The Reporting obligation section computes the three deadlines from when you became aware and marks each one On time or After the deadline, reading the earlier reports back from History & Comments.

5. 05

   Show when you knew

   Alerting keeps a notification log of decisions, not just of mail: every alert sent, every one withheld with the exact reason, every failure, kept as long as your activity history, up to three years. Severity on each row is explainable - the detector's level, the lift from the score, the lift from correlated detections, the manual verdict and who made it. When the authority asks when you knew, there is a timestamp.

6. 06

   Prove Article 21 with a dated pack

   Compliance scores the tenant against NIS2 article by article - measured statuses for log retention, access control, dormant accounts, device compliance, Conditional Access coverage and the supply-chain inventories of apps, agents and external domains; attested statuses for the four documents. Where you know the whole picture differs, record your own assessment with a note and the measured status stays beside it. The status is captured every Monday and on demand, and the per-framework evidence pack exports as a dated document, also over the read-only REST API.

The building blocks

One read-only connection. Every NIS2 measure on one screen.

Access control, incident handling, logging, supply chain, AI oversight: each block below is a screen that answers one of the questions the directive and the auditor ask, from the same connection.

МісцеположенняПристроїЗастосунки та згодиШІ-агенти та CopilotЖурнали активності та форензикаАномалії та виявленняДозволи та спільний доступЧутливі даніМітки конфіденційностіФайли, сайти та колонковий оглядачКористувачі, групи та життєвий циклЗовнішні домениПошта та поштові скринькиЛіцензіїОцінка безпекиВідповідність вимогамЗвітиДії та автоматизаціїСповіщенняТренди та щоденний брифінг

Місцеположення

Звідки насправді надходить кожен вхід і кожна дія, на карті, по кожному тенанту. Порушення за місцеположенням, неможливі переміщення, списки дозволених по кожній людині. Працює без преміальних журналів входу.

ДокладнішеОтримати доступ

БезпекаВиявити та стриматиВідповідністьДокази на вимогуКерування ШІCopilot і агентиАдмініструванняЧисто і з ліцензіями

МісцеположенняПристроїЗастосунки та згодиШІ-агенти та CopilotЖурнали активності та форензикаАномалії та виявленняДозволи та спільний доступЧутливі даніМітки конфіденційностіФайли, сайти та колонковий оглядач

БезпекаВиявити та стриматиВідповідністьДокази на вимогу

Місцеположення

Звідки насправді надходить кожен вхід і кожна дія, на карті, по кожному тенанту. Порушення за місцеположенням, неможливі переміщення, списки дозволених по кожній людині. Працює без преміальних журналів входу.

ДокладнішеОтримати доступ

Керування ШІCopilot і агентиАдмініструванняЧисто і з ліцензіями

Користувачі, групи та життєвий циклЗовнішні домениПошта та поштові скринькиЛіцензіїОцінка безпекиВідповідність вимогамЗвітиДії та автоматизаціїСповіщенняТренди та щоденний брифінг

The tools you already have

Whatever you already run for NIS2, 1Security makes it worth more.

1Security produces the one thing no Microsoft 365 tool holds: the join across identities, files, sharing, devices, locations, logs and agents. It hands that join to the tools you already pay for and reads what they produce. The more you have, the more there is to join, and nothing is replaced.

• Microsoft PurviewМітки отримують цифри покриття, а наш класифікатор дає другу думку.
• Microsoft 365 CopilotЩо побачить Copilot - виміряно до впровадження і під наглядом після.
• Microsoft Agent 365Кожен агент із власником, охопленням і даними, яких він може торкнутися.
• Copilot AutopilotЯкі дозволи успадковує автономний Copilot і від кого.
• Copilot StudioВласні агенти інвентаризовані разом з їхніми конекторами та охопленням.
• Azure AI FoundryМоделі й агенти на Foundry, зіставлені з даними тенанта, до яких вони сягають.
• Microsoft Entra SuiteПокриття політиками виміряне за спостережуваними входами, а не за налаштованими.
• Entra ID GovernanceПеревірки доступу, підживлені тим, до чого кожен обліковий запис реально сягає і чим користується.
• Microsoft Defender XDRСповіщення надходять із контекстом доступу та спільного доступу з графа дозволів.
• Defender for Cloud AppsЗгоди та охоплення застосунків, пов'язані з файлами, які може читати кожен застосунок.
• Microsoft SentinelВиявлення, місцеположення та зміни доступу як потік, готовий для плейбуків.
• Microsoft IntuneПристрої, видимі в активності, але відсутні в реєстрації, прив'язані до користувачів.
• SplunkТой самий потік у Splunk: журнали, виявлення, користувачі, файли, звіти.
• SailPointПрава доступу, збагачені реальним використанням і охопленням із тенанта.
• One Identity Active RolesЗміни в каталозі, звірені з тим, хто до чого може дотягнутися сьогодні.
• CyberArkПривілейовані облікові записи з їхнім реальним радіусом ураження в Microsoft 365.
• VeeamРезервні копії в парі зі знанням того, що було відкрите назовні до відновлення.
• All pairingsEvery tool 1Security pairs with, in one list

Each pairing has its own page you can send to the team that owns that tool.

FAQ

Common questions.