Fire pligter, der ikke kan uddelegeres
Loven stiller fire krav til ledelsesorganet.
- Godkende virksomhedens risikostyringsforanstaltninger. Ikke som gummistempel, men på et grundlag, hvor ledelsen forstår risikobilledet og de valg, der bliver truffet.
- Føre tilsyn med, at foranstaltningerne bliver gennemført og virker. Løbende, ikke kun ved den årlige status.
- Uddanne sig. Ledelsesmedlemmer skal gennemgå kurser, der gør dem i stand til at identificere risici og vurdere praksis. Tilsvarende uddannelse bør tilbydes medarbejderne.
- Stå på mål. Ved overtrædelse kan ledelsen holdes ansvarlig, og tilsynsmyndighederne har skærpede beføjelser over for væsentlige enheder.
Derfor er ansvaret gjort personligt
Erfaringen fra NIS1 var, at cybersikkerhed uden ledelsesforankring blev et budgetspørgsmål, der altid tabte til driften.
Ved at placere ansvaret hos ledelsesorganet, efter samme logik som i den finansielle regulering, sikrer NIS2, at sikkerhed bliver prioriteret der, hvor ressourcerne og beslutningerne ligger. Samtalen skifter fra “hvad koster det?” til “hvilken risiko accepterer vi, og kan vi forsvare det?”
Hvad betyder det i praksis for en SMV-direktion?
Direktøren skal ikke kunne konfigurere en firewall. Hun skal kunne træffe beslutninger og dokumentere dem.
- Et risikobillede, ledelsen faktisk har set og taget stilling til. Hvilke systemer er kritiske, hvad er truslerne, hvad koster et nedbrud.
- Beslutningsreferater, der viser, at foranstaltningerne er godkendt og prioriteret af ledelsen. Papirsporet er jeres bevis ved et tilsyn.
- En fast kadence for rapportering til ledelsen. Hændelser, fremdrift på indsatser, status på leverandørrisici.
- Gennemført ledelsesuddannelse, der kan dokumenteres.
- En afklaring af roller ved hændelser. Hvem udtaler sig, hvem beslutter nedlukning, hvem ejer myndighedskontakten inden for 24-timersfristen.
Konsekvenserne ved at lade være
Tilsynsmyndighederne har en trappe af reaktioner. Påbud, frister for udbedring og bøder, der for væsentlige enheder kan nå det højeste af 10 mio. EUR eller 2 % af den globale årsomsætning. For vigtige enheder er tallene 7 mio. EUR eller 1,4 %. Hertil kommer muligheden for at gøre ansvar gældende over for ledelsen personligt ved grov tilsidesættelse.
Den reelle risiko for de fleste er dog mere jordnær. Et tilsyn, hvor papirsporet mangler. Og kunder, der beder om dokumentation, ledelsen ikke kan levere. En gap-analyse giver ledelsen det grundlag, den skal godkende på.