Er en bestyrelsesmedlem personligt ansvarlig under NIS2?
NIS2-direktivet regulerer ikke kun, hvad en organisation teknisk og organisatorisk skal gøre, men henvender sig også til ledelsen selv. Direktivet kræver af ledere, at de godkender risikostyringsforanstaltningerne, fører tilsyn med deres gennemførelse og får træning deri. Dette er en anden rolle end IT-afdelingens eller en ekstern leverandørs, og denne rolle kan ikke delegeres væk.
Om dette også fører til personligt ansvar for en individuel leder, afhænger af den nationale lov, der implementerer direktivet, og af det bredere selskabsret i det land, hvor organisationen er etableret. I Holland sker dette gennem Cybersikkerhedsloven og de eksisterende regler om lederansvar ved dårlig ledelse. Hvad der præcis er fastslået deri, og hvad der stadig er under udvikling, er du bedst stillet til at drøfte med en jurist; denne artikel beskriver hovedlinjen, ikke din individuelle situation.
Hvad direktivet kræver af ledelsen
Den omsorgsforpligtelse, der følger af NIS2, består af to lag, der supplerer hinanden. Det første lag er organisationen: de ti foranstaltninger, der udgør cybersikkerheds-dokumentationen, fra adgangskontrol til hændelseshåndtering. Det andet lag er ledelsen: den skal kende disse foranstaltninger, godkende dem og følge op. Det betyder ikke, at en leder selv skal forstå teknologien i detaljer, men vel at han eller hun ved, hvilke risici organisationen står over for, hvilke valg der er truffet deri, og om disse valg efterleves. Den, der gerne vil vide præcis, hvilke foranstaltninger det drejer sig om, finder en oversigt i oversigten over alle NIS2-emner.
Hvorfor dette ikke kan outsources
Det er helt normalt, at en organisation lægger gennemførelsen af sikkerhedsforanstaltninger hos en IT-leverandør, en managed service provider eller en intern sikkerhedschef. Det må gerne, og for mange SMV-organisationer er det også den eneste realistiske vej. Men direktivet skelner mellem at udføre og at være ansvarlig. En leverandør kan administrere en firewall, etablere en adgangskodelinje eller køre en backup; ledelsen er fortsat den, der skal kunne vise, at den ved, hvad der foregår, og at den bevidst har valgt det. En kontrakt med en leverandør regulerer gennemførelsen, ikke den ledelsesmæssige inddragelse, som direktivet kræver.
Dette rører også ved emnet om toleddet leverandørnetværk. En organisation, der selv falder ind under NIS2, skal føre tilsyn med de risici, som leverandører medbringer – derfor får SMV-virksomheder sikkerhedsspørgsmålslister fra deres ordregivere. Den samme logik gælder indadtil: ledelsen fører tilsyn med, hvad den egen organisation gør, også selv om arbejdet udføres andre steder.
Hvad tilsyn betyder i praksis
Tilsyn at føre er ikke blot et spørgsmål om engangs at underskrive et dokument. Direktivet taler om godkendelse af foranstaltningerne og om træning, hvilket tyder på, at dette er en tilbagevendende proces: med jævne mellemrum se, om foranstaltningerne stadig er aktuelle, om de er gennemført, og om der er sket noget, der kræver ændring. For en leder uden teknisk baggrund er den mest praktisk mulige form sædvanligvis et fast register: hvilke foranstaltninger findes der, hvad er status, hvem er ejer, og hvilken dokumentation hører til. Uden et sådant register er det vanskeligt at påvise tilsyn, selv om det faktisk er sket.
Hvad vi ved og ikke ved helt sikkert
Direktivet selv beskriver ledelsens rolle på europæisk niveau; hvordan det præcist implementeres i ansvarsretten varierer fra land til land, og den nationale lovgivning er ikke overalt bindende på samme tidspunkt. Tilsynsmyndighederne offentliggør deres egen fortolkning heraf, og denne fortolkning kan ændres. Vi holder dette opdateret per land og per kilde, med den dato, da vi så publikationen; hvordan denne kildeophobelse præcist fungerer, forklares på siden om, hvordan vi vedligeholder kilder. For at vurdere ansvarligheden for en bestyrelsesmedlem i en specifik organisation forbliver en jurist eller den kompetente tilsynsmyndighed det rigtige kontaktpunkt.
Hvad du kan dokumentere
Selv uden fuldstændig juridisk sikkerhed om personligt ansvar er der praktisk arbejde at udføre: dokumentere hvilke foranstaltninger der findes, hvem der administrerer dem, og hvornår bestyrelsen sidst har drøftet dem. Det er præcis hvad cyber-dossieret er beregnet til — et dynamisk register i stedet for en engangsrapport. Hvis du først vil vide, om din organisation selv er omfattet af risikobeheersmaatregelen eller bliver påvirket gennem forsyningskæden, giver den gratis NIS2-tjek der på nogle få spørgsmål en første indikation af, med forklaring på hvorfor.
Start hvor du er nu: gennemse den gratis NIS2-tjek eller gennemse videnbanken for at se, hvilke emner der er relevante for din organisation.