Dansk IT: Cyberstrategien kan gøre en forskel ved at stille konkrete krav

Af Thomas Kristmar
Medlem af fagrådet for informationssikkerhed i Dansk IT og Senior Manager, KPMG

Fra 2021 kigger vi ind i den tredje udgave af nationale cyber- og informationssikkerhedsstrategier.

Det giver anledning til at stille spørgsmålet, om strategierne har rykket ved cybersikkerheden i Danmark, eller om det kun er velmenende hensigtserklæringer?

Ingen tværgående sikkerhedskrav
I Danmark har vi det såkaldte sektoransvarsprincip. Det betyder, at det er det enkelte ministerområde, som skal sikre, at alle samfundskritiske funktioner kan opretholdes under alle forhold.

Det er et princip, som går tilbage til den kolde krig. Det betyder også, at der i udgangspunktet ikke er tværgående krav til robusthed, sikkerhed eller beredskab på tværs af sektorer.

Hver sektor - eller rettere minister - bestemmer selv, hvad der er et passende niveau. Det holder åbenlyst ikke i et digitalt samfund med tværgående, digitale afhængigheder.

Det at stille konkrete krav virker og flytter cyber- og informationssikkerheden langt mere og hurtigere end bløde awarenesskampagner.  

Thomas Kristmar
Medlem af fagrådet for informationssikkerhed i Dansk IT og Senior Manager, KPMG

Der er et politisk ønske om at opretholde sektoransvarsprincippet, hvorfor der har været behov for at finde en anden forpligtende, tværgående mekanisme.

De nationale cyber- og informationssikkerhedsstrategier har været et middel til at løfte det mildt sagt ujævne niveau, som har eksisteret mellem de kritiske sektorer.

Der er aftalt forpligtigende fælles initiativer indenfor staten, godt hjulpet på vej af EU-initiativer såsom NIS-direktivet. Det har virket.

Nu er der på tværs af de kritiske sektorer myndigheder, som kan stille krav til cyber- og informationssikkerheden i sektoren, og der er etableret DCIS’er, som koordinerer sektorens cybersikkerhedshændelser og er et single point of contact til sektoren ved cybersikkerhedshændelser.

Blandt statslige myndigheder er der implementeret 20 tekniske minimumskrav, som øger den generelle robusthed ved at fjerne eller begrænse usikre protokoller og teknologier.

Det er også her, der er en svaghed - for hvad med kommunerne? Det ville være ønskeligt, hvis staten og kommunerne i forbindelse med den kommende fællesoffentlige digitaliseringsstrategi vil forpligte kommunerne til at efterleve samme krav som staten.

Stil krav til sikkerhed
Al erfaring siger, at sikkerhed ikke kommer af sig selv. Selv om vi skriver 2020, ses investeringer i sikkerhed mere som en omkostning end en gevinst.