EU's cyberregler virker, men flere kritiske sektorer halter stadig bagefter

Der er et tegn, mange har savnet i cyberdebatten. Regulering ser ud til at gøre en forskel, men kun når den bliver omsat til reel sikkerhed og ikke bare til flere krav.

I den nye ENISA NIS360 2026 vurderer EU's cybersikkerhedsagentur, at cybermodenheden stiger på tværs af de sektorer, der er omfattet af NIS2. Bank, el og tele ligger fortsat i toppen, mens blandt andet luftfart og finansielle markedsinfrastrukturer er rykket op i gruppen af de mest modne sektorer. Også gas, vejtransport, maritim sektor og sundhed har løftet sig det seneste år.

Det er ikke tilfældigt. Ifølge ENISA hænger fremgangen blandt andet sammen med ny lovgivning, større politisk opmærksomhed og mere systematisk arbejde med risikostyring, samarbejde og operationelt beredskab. 

Regulering kan løfte sikkerheden, men skal ikke pålægge flere byrder 

NIS2 og DORA bliver ofte omtalt som endnu et lag krav, dokumentation og kontrol.  Men ENISA’s analyse peger samtidig på noget vigtigt. Reglerne kan skubbe til mere end compliance. De kan også skubbe til reel sikkerhed, når de er enkle og proportionale nok til at blive omsat i praksis.

Rapporten fremhæver, at mange organisationer bruger cyberregulering som løftestang til at få prioriteret investeringer i sikkerhed, beredskab og risikostyring. Samtidig er det især de mere substantielle discipliner, der fylder i arbejdet nu. Det gælder sårbarhedshåndtering, beredskabsplaner og håndtering af leverandørrisici. Det er værd at hæfte sig ved, for det viser, at regulering virker bedst, når den omsættes til praktisk modenhed. Derfor er det også afgørende, at de mange overlappende regelsæt forenkles, så virksomhederne kan bruge kræfterne på sikkerhed frem for på dokumentation.  

Risikozonen er stadig reel 

Det betyder ikke, at Europa besidder cyberrobusthed. Tværtimod.  

ENISA peger på en række sektorer, hvor den samfundsmæssige betydning ganske enkelt er større end den aktuelle cybermodenhed. Det er de sektorer, rapporten placerer i den såkaldte risk zone. Her ligger blandt andet sundhed, jernbane, maritim transport, ICT service management, offentlig administration, rumsektoren samt drikke- og spildevand. Gas er til gengæld begyndt at bevæge sig ud af risikozonen.  

Forklaringen går igen på tværs af sektorer. Det handler om mangel på kompetencer, begrænsede budgetter, gammel teknologi, stor afhængighed af tredjeparter og meget ujævn modenhed mellem organisationerne. For offentlig administration fremhæver ENISA ligefrem, at sektoren stadig er i en tidlig fase med reaktiv og ujævn risikostyring, mens drikke- og spildevandssektoren hører til blandt de mindst modne overhovedet. 

Leverandørerne er blevet en kernerisiko 

Et af rapportens mest klare signaler er, at cyberrisiko ikke længere kan forstås inden for virksomhedens egne vægge.  

ENISA beskriver, hvordan organisationer i stigende grad ser sig selv som del af større digitale økosystemer. Det gør forsyningskæder, cloudmiljøer og eksterne serviceleverandører til en central del af trusselsbilledet. I ENISA’s underliggende investeringsdata er supply chain-angreb den næstmest nævnte bekymring fremadrettet, og 90 pct. af de adspurgte organisationer oplyser, at de allerede har indført kontroller for bedre at håndtere leverandørrisici.  

Det er næppe overraskende. Når én leverandør kompromitteres, kan konsekvenserne løbe som ringe i vandet gennem hele værdikæden.

Den egentlige læring for virksomhederne

Det mest interessante ved ENISA's rapport er derfor ikke bare, at nogle sektorer er blevet bedre. Det er, at EU's cyberregler ser ud til at have flyttet arbejdet fra formel efterlevelse til mere reel robusthed, i hvert fald dér, hvor virksomheder og myndigheder har haft ressourcerne og ledelsesopbakningen til at tage kravene alvorligt. Samtidig viser rapporten også den hårde sandhed. Vi kan ikke regulere os til robusthed. Det kræver investeringer, kompetencer, ledelsesfokus og stærkere samarbejde på tværs af værdikæder, og det kræver regler, der er til at finde rundt i. 

DI’s perspektiv 

For danske virksomheder er konklusionen ret ligetil. NIS2 skal ikke behandles som et juridisk sideprojekt. De virksomheder, der bruger reglerne til at løfte deres faktiske sikkerhed, står stærkere, både operationelt og forretningsmæssigt. 
Men skal reglerne for alvor styrke både sikkerheden og konkurrenceevnen, skal de også gøres enklere. Derfor er det afgørende, at implementeringen af NIS2 fortsat sker risikobaseret og proportionalt. Reglerne kan være en stærk drivkraft, men kun hvis virksomhederne også har adgang til kompetencer, praktisk vejledning og realistiske rammer for at omsætte krav til handling.