Bestyrelsen, ledelsen og organisationen.
Der er tre led, der skal involveres, når arbejdet med NIS2 skal fordeles.
Det er nok ikke nyt for nogen, at ledelsen spiller en stor rolle i implementeringen af NIS2, og at de kan stå personligt ansvarlige, hvis organisationen ikke lever op til direktivet.
Men måske er du stadig i tvivl om, præcis hvem der har hvilket ansvar, og hvilke arbejdsopgaver der tilfalder hvem.
Den rollefordeling gennemgår Cerivos COO Martin Vasehus i et webinar om ledelsens ansvar under NIS2.
Ledelsens rolle: udpeg en sponsor
Første skridt er at udpege, hvad han kalder en sponsor.
”Man udpeger en ansvarlig. Det kan både være i direktionen, men det kan også være i bestyrelsen. I den perfekte verden, så er det begge dele. Det er klart, at den der er i direktionen skal involveres væsentlig mere end den, der er i bestyrelsen. Men jeg vil anbefale, at man har en sponsor i topledelsen” forklarer Vasehus.
Kort fortalt er sponsorens rolle at godkende, føre tilsyn og sikre de rette prioriteringer.
Sponsorernes arbejde med NIS2 kan fungere på flere forskellige måder. En direktion kan godt arbejde tæt på de konkrete vurderinger, mens en bestyrelse typisk har brug for et mere samlet overblik, for eksempel et heatmap og et kort resumé.
Uanset hvad er det en stor fordel at have en sponsor i bestyrelsen. I private virksomheder skal bestyrelsen forholde sig til virksomhedens risici mindst én gang om året, og derfor er det oplagt at tænke cybersikkerhedsrisici og NIS2 ind i den samlede risikovurdering.
Foruden en sponsor, skal der etableres et team, der til daglig står for projektet omkring NIS2.
Organisationens rolle
Teamet af medarbejdere, som Vasehus kalder ’organisationen’, skal drive arbejdet med NIS2 i hverdagen, hente viden på tværs af organisationen og rapportere fremdrift, udfordringer og behov tilbage til ledelsen.
Det er også her, at kernearbejdet begynder: risikovurderingerne.
Den nedsatte gruppe skal identificere og vurdere organisationens cybersikkerhedsrisici, skabe et samlet overblik og foreslå relevante sikkerhedsforanstaltninger.
Derfra er det så sponsorens opgave at tage stilling til den samlede risikoeksponering. Om foranstaltningerne er passende, om den resterende risiko er acceptabel og om risikoen også giver mening set fra et samfundsperspektiv, ikke kun et kommercielt.
Hverdagen med NIS2: Virker det vi gør?
Når ledelsen har godkendt foranstaltningerne, starter selve driften.
Organisationen skal gennemføre foranstaltningerne, herunder implementere de nødvendige politikker og procedurer. Derfra skal de dokumentere fremdrift, forsinkelser og udfordringer og vise, at foranstaltningerne virker.
Ledelsen – sponsorens – job er at føre tilsyn med at det bliver efterlevet og tage stilling til, om der er behov for at ændre i prioriteterne.
Og det er vigtigt, da der nemt kan opstå forandringer, forklarer Martin Vasehus.
”Det at vurdere effekten af foranstaltningerne er en cirkulær ting, man gør år efter år, og man vil ofte finde at man har nogle små huller. Der sker måske noget nyt, man skifter et IT system ud med et andet, man køber en femte virksomhed, man skal implementere, eller man dyrker et nyt forretningsområde”.
Derfor er det en god ide at have en fast plan for rapportering, for eksempel en kvartalsvis status på fremdrift og effekt samt årlig opfølgning i bestyrelsen. Det vigtige er ikke formen. Det vigtige er, at organisationen har en fast måde at rapportere på, så ledelsen hele tiden har overblik og mulighed for at handle.
Til sidst er der et punkt, der gerne skal favne alle – fra sponsor til organisation. Det er et lovkrav, at ledelsen skal gennemføre kurser med henblik på at have tilstrækkelig viden og kompetencer til at styre virksomhedens cybersikkerhedsrisici. Men også organisationen skal tilbydes træning og uddannelse, så alle er bedst muligt klædt på til at håndtere opgaven.
Som Martin Vasehus siger:
”Ledelsen behøver ikke være eksperter i cybersikkerhed. Men den skal forstå risiciene godt nok til at kunne træffe beslutninger om dem”.
Vil du vide mere om de forskellige roller og deres ansvar i organisationen?
Så se webinaret her.
Webinar: Sådan operationaliserer du ledelsens ansvar under NIS2