Topledelser i tusindvis af danske virksomheder bør få et tema øverst på dagsordenen, hvis det ikke allerede er sket. Det drejer sig om cybersikkerhed – og det drejer sig om EU’s nye regelsæt på området, NIS2, der skal bremse hackere og it-kriminelle, som angriber virksomheder i alle størrelser.

NIS2 skruer op for kravene til cybersikkerhed på flere planer - også helt ind i bestyrelser og direktion. 

- I yderste tilfælde, hvor ledelsen ikke lever op til sit ansvar som defineret i NIS2-direktivet, er der lovhjemmel til at indføre forbud mod at varetage ledelsesfunktioner, forklarer DI Digitals direktør, Camilla Ley Valentin.

Det drejer sig eksempelvis om, at ledelsen har ansvaret for at fastlægge risikostrategien, løbende at føre tilsyn med implementeringen af it-sikkerhedsforanstaltninger, og for at godkende it-beredskabsplanen. 

Når det kommer til bøderisikoen deler NIS2 virksomhederne i to kategorier:"væsentlige enheder" og "vigtige enheder", hvor de mest samfundskritiske virksomheder kan få en bøde på optil 10 mio. euro, mens de "vigtige" når bødeloftet ved 7 mio. euro. 

Se hvem der er omfattet her

Kom med til arrangement: Cybersikkerhed anno 2024

64 procent tager for let på digital sikkerhed

Den særlige fokus på ledelsesansvaret understreger, at cybersikkerhed er et forretningskritisk område. Samtidig viser det sig ifølge Digitaliseringsstyrelsen desværre, at 64 procent af danske SMV’ers ledelse i begrænset omfang – eller slet ikke – arbejder med digital sikkerhed. 

- Vi ved endnu ikke helt, hvordan kravene bliver skruet endeligt sammen. Men det korte budskab her og nu er, at vi ikke kan vente på at det bliver afklaret. Gå i gang nu, forbered din virksomhed og involvér ledelsen fra start – ikke kun fordi det er et krav i NIS2, men også fordi NIS2 går på tværs af jura, it-teknik og forretning, siger Camilla Ley Valentin.

Cybersikkerhed: Afgørende at få styr på forsyningskæder

Cyberangreb "meget sandsynligt"

Forsvarsministeriet arbejder på det danske lovforslag, der implementerer EU’s NIS2. Køreplanen for lovforslaget er netop blevet skubbet, så det først ventes klar i oktober. I følge planen fra EU skulle NIS2 træde i kræft den 17. oktober 2024. Men implementeringsfristen i Danmark bliver nu udskudt cirka to måneder. Forsvarsministeriet begrunder forsinkelsen med lovarbejdets kompleksitet og omfang   

 Trusselsbilledet er i konstant forandring, hvor hackerne bliver dygtigere og arbejder mere og mere systematiske, og ikke mindst udvikler teknologierne sig hele tiden.  

- Derfor kræver det, at cybersikkerhed løbende kommer på agendaen hos ledelsen, og at ledelsen kan forstå og handle på baggrund af risikoanalyser på samme måde som ledelsen hos mange virksomheder i dag arbejder med risikoanalyser, når der skal træffes beslutninger om andre forretningskritiske udfordringer, forklarer Camilla Ley Valentin.

Center for Cybersikkerhed vurderer i dag, at cyberangreb er meget sandsynlige for alle virksomheder. Især de mindre virksomheder er særligt udsatte, fordi deres beredskab kan være begrænset.

Læs også: Efter opkaldet alle frygter: Forberedelse blev guld værd

Undgå kvælende bureaukrati i NIS2

DI ser grundlæggende NIS2 som en god idé, fordi der er brug for beskyttelse af kritisk infrastruktur. Dog bør skærpet lovgivning ikke føre til et voldsomt bureaukrati, der gør, at vi kommer for sent i gang. Lige nu ligger Danmark på 32. pladsen på FN’s cybersikkerhedsindex – og det er ikke godt nok.  

Cybersikkerhed kan samtidig give konkurrencefordele, pointerer Camilla Ley Valentin.  

- Angreb rammer de virksomheder, som er dårligst forberedt. Derfor handler det groft sagt om at være bedre forberedt end din konkurrent. Industriens Fonds Cyberbarometer har påvist, at investeringer i cybersikkerhed giver forretningsmæssige fordele – allerede fra første tiltag, siger hun.

Læs også: Ond drøm blev en realitet - nu er sikkerheden i top

NIS2-krav til underleverandører 

Udover ledelsesansvaret peger DI’s digitale direktør også på NIS2-krav til forsyningskæde- og leverandørsikkerhed. Det indebærer, at de omfattede virksomheder skal sikre, at deres leverandører, også skal overholde en række krav til cybersikkerhed.  

- Derfor kan mange mindre virksomheder, der er underleverandører til direkte omfattede virksomheder, også indstille sig på at skulle leve op til NIS2-kravene, forklarer DI-direktøren.