NIS 2 stiller nye krav

Den 28. november 2022 blev NIS 2 direktivet (2022/2555) godkendt, som en erstatning for blandt andet NIS (2016/1148/EC).

Nogle virksomheder vil allerede kende til lovgivningskravene NIS om IT-sikkerhed, men for mange sektorer, vil det være nye krav, der skal implementeres i virksomhedens organisation og endda på flere niveauer.

Europaparlamentet er ved at lægge sidste hånd på lovteksterne for NIS2, som skal vedtages og gennemføres indenfor knap to år.

Det vil vedrøre dig som virksomhedsleder på flere planer:

• NIS2 vil kræve flere ressourcer til IT specialister, for at gennemføre sikkerhedstiltagene i din virksomhed. Og der bliver konkurrence om at få fat i dem.
• Der vil være led i din virksomhed, som før har kunnet undgå at blive sikret i samme omfang, som der stilles krav til nu.
• Dit ansvar som leder bliver meget eksplicit i de nye lovkrav - og der er forhøjede bøder på vej til dem, som ikke overholder kravene.

Der vil altså være en række beslutninger som ligger hos dig. og dernæst prioriteringer i forhold til eventuelle allokeringer af virksomhedens øvrige ressourcer, og du vil blive pålagt mere formel ansvar. Det er ikke bare til at uddelegere, uden dit direkte engagement.

Heldigvis er der rådgivning at hente, og heldigvis er der også førende eksperter på området i Danmark, som gør meget for at “oversætte” lovstoffet til forståeligt sprog.

Loven bliver selvfølgelig ikke sat i søen for at gøre livet surt for virksomhedsledere.

Der er rigtig meget fokus på, at cyberkriminalitet bliver mere omfangsrigt og avanceret, og loven lægger især vægt på at sikre forsyningskæder og leverancer af forskellige ressourcer.

Hvis du er virksomhedsleder indenfor fødevarer, spildevand eller affaldssektorn, skal du afgjort se på din forretnings it-sikkerhed og opdatering af den. Det gælder på følgende områder:

• Risikoanalyser og sikkerhedspolitik for informationssystemer
• Hændelseshåndtering - både præventivt, opdagelse af hændelse og håndteringen af den
• Krisehåndtering
• Værdikædesikkerhed for leverandører af både hardware og services; herunder datalagring, processorservices og sikkerhedsservices
• Kryptografi og håndtering
• Sikkerhed i forbindelse med anskaffelse, udvikling og vedligeholdelse af netværk og informationssystemer, sårbarhedshåndtering og offentliggørelse
• Policy og procedure for at vurdere effektiviteten af sikkerhedstiltag
• HR - sikkerhed og regler for adgangskontrol.