Der er under fire uger til, at danske virksomheder skal leve op til et omfattende regelsæt for cybersikkerhed.
Nu har beredskabsminister Torsten Schack Pedersens folk præsenteret de vejledninger, som de cirka 3.200 omfattede virksomheder ifølge regeringen bør rette ind efter.
Ministeren har flere gange understreget, at han i første omgang holder bødeblokken i lommen. Det vil formentlig komme som en lettelse for mange virksomheder, for rapporten på 67 sider er smækfyldt med krav, dokumentationspligt og nye standarder for ansvar.
Selvom ministeriet kun forventer, at det er omkring 3.200 virksomheder, der falder ind under kategorien “kritisk”, vil kravene få betydning langt bredere. De vil sive ned i fødekæden – fra leverandører til underleverandører og samarbejdspartnere, uanset om de står på den officielle liste eller ej.
Her er tre centrale og opsigtsvækkende nedslag fra rapporten:
- Risiko er ikke længere noget, man "tager" – det er noget, man dokumenterer.
Alle systemer og tjenester skal gennemgås med henblik på deres samfundsmæssige og økonomiske betydning. Og det er ikke virksomhedens omdømme eller bundlinje, der tæller – det er effekten på Unionens indre marked.
Det kræver, at virksomheder ændrer tankegang. Hvor man før kunne tale om “risikoappetit”, handler det nu om “risikoansvar”.
- Sikkerhed måles i tre niveauer – og kun ét af dem er valgfrit
- Krav, som skal implementeres
- Anbefalinger, som bør implementeres – og som kræver begrundelse, hvis man vælger dem fra
- Forslag, som kan implementeres
Med andre ord: Du kan ikke længere undlade at gøre noget, bare fordi du ikke har råd. Du skal bevise, hvorfor det er det rigtige valg.
- Alt kan være en trussel – og du skal tage højde for det hele
Det betyder, at cybersikkerhed ikke længere er en teknisk disciplin isoleret i it-afdelingen. Det er en integreret del af virksomhedens samlede risikostyring – og dermed også ledelsens ansvar.
Vejledningen med dens 67 sider kan findes her.
Computerworld har tidligere forelagt en række eksperter om, hvordan man bedst kommer igang med NIS2.
