Är en styrelseledamot personligt ansvarig enligt NIS2?
NIS2-direktivet reglerar inte bara vad en organisation tekniskt och organisatoriskt måste göra, utan vänder sig även direkt till ledningen. Direktivet kräver av ledare att de godkänner riskhanteringsmåtten, övervakar genomförandet av dem och får utbildning i dessa. Det är en annan roll än IT-avdelningens eller en extern leverantörs roll, och denna roll kan inte delegeras vidare.
Huruvida detta även leder till personligt ansvar för en enskild ledare beror på den nationella lag som implementerar direktivet och på den bredare företagsrätten i det land där organisationen är etablerad. I nederländerna sker detta genom Cyberbeveiligingswet och befintliga regler om ledares ansvar vid felaktig ledning. Vad som exakt är fastslaget och vad som fortfarande utvecklas bör ni bäst diskutera med en jurist; denna artikel beskriver huvudlinjen, inte er individuella situation.
Vad direktivet kräver av ledningen
Den omsorgsplikt som följer av NIS2 består av två lager som kompletterar varandra. Det första lagret är organisationen: de tio åtgärder som utgör cybersäkerhetsdokumentet, från åtkomststyrning till incidenthantering. Det andra lagret är ledningen: den måste känna till dessa åtgärder, godkänna dem och följa upp dem. Det betyder inte att en ledare själv måste förstå tekniken i detalj, men väl att han eller hon vet vilka risker organisationen löper, vilka val som har gjorts därom och om dessa val efterlevs. Den som vill veta exakt vilka åtgärder det handlar om, hittar en översikt i översikten över alla NIS2-ämnen.
Varför detta inte kan outsourcas
Det är helt vanligt att en organisation lägger genomförandet av säkerhetsmåtten hos en IT-leverantör, en managed service provider eller en intern säkerhetschef. Det är tillåtet, och för många små och medelstora organisationer är det också den enda realistiska vägen. Men direktivet skiljer mellan genomförande och ansvar. En leverantör kan hantera en brandvägg, fastställa en lösenordspolicy eller köra en säkerhetskopia; ledningen förblir den part som måste kunna visa att den vet vad som händer och att den medvetet har valt detta. Ett avtal med en leverantör reglerar genomförandet, inte det ledningsansvar som direktivet kräver.
Detta berör också frågan om leverantörskedjan. En organisation som själv omfattas av NIS2 måste övervaka de risker som leverantörer för med sig – därför får små och medelstora företag säkerhetsfrågeformulär från sina uppdragsgivare. Samma logik gäller internt: ledningen övervakar vad organisationen själv gör, även om arbetet utförs på annat håll.
Vad övervakning betyder i praktiken
Övervakning är inte en fråga om att underteckna ett dokument en gång. Direktivet talar om godkännande av åtgärderna och utbildning, vilket tyder på att detta är en återkommande process: regelbundet kontrollera om åtgärderna fortfarande stämmer, om de är genomförda och om något har förändrats som kräver justering. För en ledare utan teknisk bakgrund är den mest praktisk form vanligtvis ett fast register: vilka åtgärder finns, vad är status, vem är ansvarig och vilket bevisstycke hör till det. Utan ett sådant register är det svårt att påvisa övervakning, även om det faktiskt har skett.
Vad vi vet och inte vet med säkerhet
Direktivet själv beskriver ledningens roll på europeisk nivå; hur detta exakt implementeras i ansvarsrätten skiljer sig åt mellan länder, och nationell lagstiftning är inte överallt slutgiltig på samma gång. Tillsynsmyndigheter publicerar sin egen tolkning härom, och denna tolkning kan förändras. Vi följer detta per land och per källa, med datumet då vi såg en publikation; hur denna källhantering exakt fungerar förklaras på sidan om hur vi hanterar källor. För ett omdöme om ett specifikt styrelsemedlemmets ansvar i en specifik organisation är en jurist eller den behörig tillsynsmyndigheten rätt kontaktpunkt.
Vad du kan dokumentera
Även utan fullständig juridisk säkerhet om personligt ansvar finns det praktiskt arbete att göra: dokumentera vilka åtgärder som finns, vem som hanterar dem och när styrelsen senast diskuterade dem. Det är precis vad cyber-dossieren är till för — ett levande register i stället för en engångsrapport. Vill du först veta om din organisation själv omfattas av riskreduceringsåtgärderna eller påverkas via leverantörskedjan, då ger den kostnadsfria NIS2-kontrollen där en första indikation på några frågor, med förklaring till varför.
Börja där du är nu: titta på den kostnadsfria NIS2-kontrollen eller bläddra genom kunskapsbanken för att se vilka ämnen som är relevanta för din organisation.