NIS2-loven skærper kravene til virksomheders styring af net- og informationssikkerhed og løfter bestyrelsens ansvar for cybersikkerhed til et centralt governance-anliggende. Loven gælder på tværs af kritiske sektorer og forventes samtidig at sætte en generel markedsstandard, som også ikke-omfattede virksomheder vil blive målt på i kontrakter og samhandel.
Anvendelsesområde og klassificering
Loven implementerer EU’s NIS2 og dækker bl.a. fødevarer, sundhed, transport og fremstilling, mens energi, tele og finans implementeres særskilt. Virksomheder kategoriseres som væsentlige eller vigtige enheder afhængigt af størrelse og kritisk betydning. Kravene er i udgangspunktet ens, men intensiteten i tilsyn og sanktionsramme varierer med kategorien.
Selv om mange selskaber falder uden for de formelle tærskler, vil standarderne få betydning bredt. Særligt leverandører til NIS2-omfattede virksomheder møder kontraktlige sikkerhedskrav, fordi forsyningskædesikkerhed indgår eksplicit i reguleringen. Derfor bør også ikke-omfattede virksomheder måle sig mod NIS2 som best practice.
Bestyrelsens pligter og styringsprincipper
Bestyrelsen har ansvar for, at virksomheden træffer passende, forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Cybersikkerhed bør indgå i bestyrelsens årshjul og rapporteringslinjer på linje med øvrige væsentlige risici. Godkendelsespligten kræver konkret stillingtagen til et passende sikkerhedsniveau i lyset af risikoeksponering og samfundsmæssig betydning.
Som minimum skal følgende områder være dækket, og bestyrelsen bør sikre dokumentation for valg, implementering og effekt:
- Risikoanalyse og sikkerhedspolitikker.
- Hændelseshåndtering.
- Driftskontinuitet og backup.
- Forsyningskædesikkerhed.
- Sikker udvikling og sårbarhedshåndtering.
- Effektivitetsevaluering af foranstaltninger.
- Grundlæggende cyberhygiejne og træning.
- Kryptografi og kryptering.
- Personalesikkerhed og adgangskontrol.
- Multifaktorautentificering og sikret kommunikation.
Tilsynet kan understøttes af periodiske ledelsesrapporter og uafhængig revision. Bestyrelsen kan nedsætte et sikkerheds- eller revisionsudvalg, men det samlede ansvar kan ikke fraskrives. Medlemmer i omfattede virksomheder skal deltage i relevante kurser i styring af cybersikkerhedsrisici, og gennemførte aktiviteter bør kunne dokumenteres.
Ikke-omfattede virksomheder og leverandørled
Et stort antal danske selskaber er ikke direkte omfattet. Alligevel vil efterlevelse ofte være kommercielt påkrævet via kundekrav, især når man leverer til kritiske aktører. En frivillig tilpasning til NIS2 mindsker modpartsrisiko, styrker robusthed og kan lette adgang til kontrakter.
Et praktisk første skridt er at foretage et gap-analyse op mod de nævnte minimumsområder og etablere en risikobaseret plan for prioriterede tiltag, herunder leverandørdue diligence, beredskabsøvelser og forbedret rapportering til bestyrelsen.
Håndhævelse og ansvar
Ved væsentlig forsømmelse kan myndighederne som sidste udvej midlertidigt forbyde ledelsesmedlemmer at udøve ledelsesfunktioner, indtil manglerne er afhjulpet. Selskabet kan derudover ifalde bøde- og strafansvar. Et velfungerende kontrolmiljø, tydelig rollefordeling og løbende kompetenceopbygning er derfor ikke blot god praksis, men en central del af retslig efterlevelse.
Samlet set lægger NIS2-loven et klart ansvar på bestyrelsen for at sikre en systematisk, dokumenteret og risikobaseret tilgang til cybersikkerhed på tværs af organisation og forsyningskæde.
