Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Ja, vi kan hurtigt blive enige om, at udskydelsen af dansk NIS2-lovgivning er et skidt signal at sende til de mange virksomheder, som snart skal løfte deres cybersikkerhed til et markant højere niveau.
Og så på et tidspunkt, hvor trusselsniveauet mod danske virksomheder ifølge Center for Cybersikkerhed er højere end nogensinde før.
NIS2-direktivet har jo netop til formål at løfte sikkerhedsniveauet hos den slags virksomheder, som Rusland må forventes at gå direkte efter i en hybridkrig med NATO.
Vand, energi, transport, mad, kommunikation – alle steder hvor taktiske cyberangreb kan skabe kaos og undergrave vores modstands- og handlekraft.
Banen er kridtet op til en hård proces
NIS2-lovgivningen forventes at omfatte mellem 1.000 og 1.500 danske virksomheder.
For manges vedkommende er der tale om en virkelig radikal ændring af deres sikkerhedsniveau, og i direktivet blev der ovenikøbet lagt op til en kort deadline allerede i oktober 2024.
Den når vi naturligvis ikke nu. Til den tid har vi måske ikke engang vores lovgivning på plads.
Indtil nu har de fleste virksomheder forholdt sig afventende. Så længe der ikke findes dansk lovgivning, er der jo alt muligt andet at tage sig af.
Men denne "vi venter lige og ser"-strategi kan også skabe risiko for, at man pludselig skal implementere hele NIS2-pakken under voldsomt tidspres.
Undgå tidspres og et støvsuget sikkerhedsmarked
NIS2-direktivet ér meget ambitiøst. Det lægger op til et sikkerhedsniveau, som mange store selskaber ikke kan præstere endnu.
Nogen tænker måske: "Ja, ja, men det er jo kun et direktiv – vi må jo selv bestemme, i hvilket omfang, vi oversætter det til dansk lovgivning."
Til det er der kun at sige, at Danmark har tradition for at gå hele vejen.
For eksempel indførte vi en meget omfattende GPDR-lovgivning, mens et land som Spanien næsten ikke har nogen. Det er urealistisk at tro, vi kommer til at skrue meget ned for ambitionerne denne gang.
I Dansk IT er det vores opgave at bane vej for en effektiv digitalisering af det danske samfund, og derfor er vores anbefaling: Vent ikke på en vedtagelse af dansk NIS2-lovgivning.
I direktivet er der en række minimumskrav, som med meget stor sandsynlighed bliver en del af det danske lovgrundlag. Begynd at implementere dem nu.
Det vil skabe fordele som:
1) Bedre vidensopbygning
Hvis compliance med dansk NIS2-lovgivning skal foregå under stort pres, bliver det udelukkende en kamp mod tiden, og der kan meget værdifuld viden gå tabt.
For eksempel begynder et NIS2-forløb typisk med en vurdering af det forsvar, hvad man har i forvejen, og hvor moden organisationen er ifht. cybersikkerhed. Det kan man virkelig meget gavn af – men ikke hvis man har Forsvarsministeriets pistol for panden.
2) Nemmere adgang til dygtige sikkerhedskonsulenter
I et scenarie hvor Forsvarsministeriet spiller ud med en hård deadline, vil der blive hård konkurrence om dygtige sikkerhedskonsulenter, for langt de fleste NIS2-virksomheder råder ikke over de kompetencer selv.
I værste fald vil der ikke være nogen at hyre – og hvis der er, vil de med garanti ikke blive billigere, end de er nu.
3) Tværfaglig forankring i organisationen
I forbindelse med GDPR begik mange ledelser den fejl at tro, det var en sag, som nemt lige kunne ordnes af IT og HR – det var det ikke. Sådan er det også med cybersikkerhed – det er en sag for både topledelsen, it, jura, HR, økonomi osv.
Det gælder om at samle de rigtige folk rundt om bordet, hvis man skal ordentligt fra start.
Men er man under voldsomt pres, er det fristende at forsøge sig med en simplere model, hvor der ikke bruges tid på at opbygge gode processer, men blot går efter "quick-and-dirty"-compliance.
4) Bedre sikkerhed – hurtigere
Endelig skal man jo også huske, at NIS2 ikke er sat i verden for at genere danske virksomheder med ligegyldigt EU-nusseri.
Der ér tale om et meget højere og bedre sikkerhedsniveau som helt uden tvivl vil beskytte mange af dem mod kostbare og destruktive cyberangreb.
Ved at begynde NIS2-rejsen nu i stedet for at forholde sig passiv i næsten et år til, høster man også frugterne af de sikkerhedsforbedringer hurtigere.
Hvis vi lige skal løbe de 11 minimumskrave igennem, så er de:
1) Risikoanalyse
Se for eksempel sikkerdigital.dk fra Digitaliseringsstyrelsen, hvor der blandt meget andet findes en god skabelon for arbejdet med risikostyring, og en skabelon til en sikkerhedspolitik.
2) Beredskabsplan
Hvem gør hvad, når der sker et angreb?
3) Business continuity
Systemer for backup og genskabelse af data og applikationer
4) Supply chain-sikkerhed
Definér hvilke sikkerhedskrav der skal stilles til leverandører.
5) Netværkssikkerhed
Sikkerhedsprocedurer for køb, udvikling og vedligeholdelse af systemer – herunder opdatering og patching.
6) Løbende vurdering af resultater
Virker indsatsen efter hensigten? Hvad har vi opnået med vores investering i sikkerhed?
7) Basal sikkerhedshygiejne
Det eneste af NIS2-kravene, der ikke er præcist defineret. Hvad der helt nøjagtigt menes, er derfor et spørgsmål om fortolkning. Et godt sted at begynde kunne være i Implementeringsgruppe 1 i CIS v. 8 kontrollerne (CIS18).
8) Politikker og procedurer for kryptering
Kryptering af hvad, hvorfor og hvordan?
9) Styring af rettigheder
Hvem må få adgang til hvilke netværksressourcer? Procedurer for sikkerhedscreening af nye medarbejdere.
10) Asset Management
Konstant opdateret overblik over hvilke systemer, applikationer og data der kører i netværket.
11) Multifaktor brugeridentificering
Medarbejderne skal identificere sig med mere end blot et kodeord.
Jo flere af de indsatsområder danske NIS2-virksomheder begynder at arbejde med nu, jo bedre og billigere vil deres overholdelse af den kommende lovgivning blive.
Spild ikke dyrbar tid på grund af en forestilling om, at Danmark vedtager en "lightudgave" af direktivet. Det har vi ikke gjort tidligere, og det kommer vi heller ikke til at gøre denne gang.
Slet ikke nu da EU ovenikøbet har kridtet banen ekstra hårdt op i forhold til både omfang, deadline og bøderamme.
Selvom de 11 punkter kun er minimumskrav, vil det være en stor fordel at havde dem på plads, når de danske myndigheder omsider trækker en streg i sandet.
Rettidig omhu vil gøre det langt nemmere at det bedste ud af NIS2-processen – både økonomisk, videns- og sikkerhedsmæssigt.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.