Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Det reviderede, europæiske direktiv om net- og informationssikkerhed, NIS2, er allerede trådt i kraft.
Men da EU's medlemslande har helt indtil september 2024 til at gennemføre direktivet på nationalt plan, har mange af de berørte virksomheder ikke engang sat sig ind i kravene endnu.
Med NIS2 vil der blive fastsat et fælles udgangspunkt for risikostyringsforanstaltninger og rapporteringsforpligtelser for it-sikkerhed på tværs af en række sektorer.
I tilfælde af manglende overholdelse af disse krav giver NIS2-direktivet mulighed for bøder på op til 10 millioner euro eller to procent af virksomhedens samlede, årlige omsætning på verdensplan, alt efter hvad der er højest.
Derudover kan topledere og ledere på C-niveau holdes personligt ansvarlige for en overtrædelse.
Disse to frygtfaktorer har domineret diskussionen om NIS2.
Der vil dog også være mange positive resultater. NIS2 sigter trods alt mod en bedre, harmoniseret og modstandsdygtig international it-sikkerhed.
Et fælles sprog vil øge den gensidige tillid og tage ved lære af god praksis og erfaringer. Tilpassede og mere gennemsigtige it-sikkerhedsfunktioner vil gøre os stærkere sammen i kampen mod de it-kriminelle.
Tre hovedområder
At overholde NIS2 vil kræve foranstaltninger på tre hovedområder: Governance, incident detection and response samt infrastruktur- og applikationssikkerhed.
Governance betyder opmærksomhed på og investeringer i it-sikkerhed, uddannelse og risikostyring.
Krav til incident detection and response handler om at fokusere ikke kun på håndtering og rapportering af hændelser, men også på forretningskontinuitet og krisestyring.
Krav til infrastruktur- og applikationssikkerhed kan betyde ændringer i netværkssikkerhed, applikationsudviklingspraksis samt identitets- og adgangskontrol.
Alt dette er ensbetydende med rigtig meget ekstra arbejde.
NIS2 compliance er altså ikke noget, man kan bestille i dag og få leveret og implementeret i næste uge.
Med nogle ganske få undtagelser vurderer jeg, at det vil tage alt mellem 9 og 15 måneder for en virksomhed at blive NIS2-kompatibel.
Det kan virke fristende at vente på den nationale lovgivning. Men når september 2024 nærmer sig, risikerer man at løbe tør for tid og ressourcer. Dygtige it-sikkerhedsprofessionelle er allerede nu en mangelvare.
Jeg vil derfor udfordrer alle CEO'er, CIO'er og CISO'er til at besvare følgende spørgsmål:
Vil NIS2 påvirke dig direkte eller indirekte?
Vil du have dine kunder til at stole på dig og dine it-sikkerhedsforanstaltninger?
Foretrækker du faktabaserede beslutninger i stedet for hurtige og forhastede beslutninger?
Hvis svaret er ja, er det tid til at begynde at handle på NIS2. Ikke senere i år, ikke næste år. Nu.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.