NIS2: Det skal ledelsen selv vide
NIS2 gør cybersikkerhed til et ledelsesansvar. Hvad ledelsen skal godkende, føre tilsyn med og lære, og hvorfor uddelegering ikke er nok.
NIS2-direktivet har flyttet én ting grundlæggende: Informationssikkerhed er ikke længere kun IT's opgave. Både den tyske gennemførelseslov og den danske NIS 2-lov nævner ledelsen udtrykkeligt, med egne pligter.
Godkende og føre tilsyn
Efter direktivet skal ledelsen i væsentlige og vigtige enheder godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med, at de gennemføres. Business continuity er udtrykkeligt en del af det: backup, genetablering efter en katastrofe og krisestyring.
I praksis betyder det, at ledelsen skal kende de foranstaltninger, den godkender. En underskrift på et dokument, som ingen har læst, opfylder ikke den pligt.
Ansvar
Ledelsen kan holdes ansvarlig, hvis den ikke lever op til pligterne. Det er den del, der lige nu får opmærksomhed i mange bestyrelser og direktioner, og med god grund.
Uddannelsespligt
Ledelsen skal jævnligt deltage i uddannelse, så den kan identificere risici og vurdere praksis for risikostyring. En enkelt præsentation dækker ikke det.
Hvorfor det ikke er nok at uddelegere
Ledelsen gennemfører selvfølgelig ikke foranstaltningerne selv. Men den skal kunne vurdere, om det, den får forelagt, holder i en rigtig krise. Her hjælper en øvelse mere end noget dokument: Når ledelsen selv har siddet i kriseledelsen, ved den, hvilke spørgsmål den skal stille.
Tre spørgsmål til næste ledelsesmøde
- Hvilke af vores processer skal tilbage først efter et nedbrud, og hvor længe må de mangle?
- Hvornår blev vores genetablering sidst testet i virkeligheden, ikke kun på papiret?
- Hvem beslutter i den første time, og hvordan når vi den person, hvis e-mail og telefoni er nede?
Hvis et af spørgsmålene ikke har et klart svar, er det ikke en bebrejdelse. Det er udgangspunktet.
Indlægget er en praktisk gennemgang og ikke juridisk rådgivning.