It-sikkerhedsspecialist: Det er et digitalt paradoks, når vi ikke kan navigere i krav til cybersikkerhed

Løsninger ligger i at tænke holistisk 

I praksis skal man designe sin beredskabsplan efter den korteste deadline, men det kræver ressourcer og koordinering, særligt når de forskellige rapporteringsfrister heller ikke kræver det samme indhold.

EU har godt nok forsøgt at skabe sammenhæng. DORA er eksempelvis erklæret "lex specialis" over NIS2, hvilket betyder, at finansielle virksomheder først og fremmest skal følge DORA, hvor reglerne overlapper.

Men det fritager dem ikke fra at tænke i bredere compliance. For de samme hændelser, data og systemer vil ofte være omfattet af flere regelsæt på én gang.

Resultatet er, at compliance ikke længere blot er et juridisk eller teknisk ansvar. Det er blevet en organisatorisk disciplin i sig selv.

En del af løsningen ligger i at tænke holistisk. Det er ikke muligt – eller klogt – at forsøge at opfylde hvert regulativ isoleret.

Torben Clemmensen
It-sikkerhedsspecialist

Man skal mestre begreber som "privacy by design", men også kunne svare på, hvor længe man opbevarer netværkslogs, hvordan man segmenterer adgang til følsomme data, og hvem der har det endelige ansvar, når noget går galt.

En del af løsningen ligger i at tænke holistisk. Det er ikke muligt – eller klogt – at forsøge at opfylde hvert regulativ isoleret.

I stedet skal virksomheder arbejde mod ét samlet governance-setup, hvor eksempelvis ISO 27001 danner rygraden i et integreret ledelsessystem, og hvor sikkerhedsfolk og DPO'er arbejder sammen – ikke hver for sig.

Men det kræver, at ledelsen tager ejerskab.

Smid redskaberne – ikke ansvaret

NIS2 og DORA placerer i stigende grad ansvaret hos topledelsen, og sanktionerne er tilsvarende skærpede. Det er ikke længere nok at pege på CISO'en eller DPO'en, når myndighederne spørger.

Man skal kunne dokumentere, hvordan man balancerer modstridende krav og træffer informerede valg. Ellers kan det endda koste bestyrelsesposter. 

Er det umuligt at overholde alle regler fuldt ud? I praksis: ja, men det betyder ikke, at man ikke skal gøre sit bedste for at blive compliant.

Ved at tænke compliance som en strategisk investering – ikke bare en nødvendighed – kan virksomheder både reducere risiko og opbygge tillid.

Og når man ikke kan alt, så gør det bedst mulige: dokumentér, monitorer, begrund og prioriter. NIS2 eksempelvis er ikke en destination, men en rejse, hvor det vigtigste er, at man gør noget.

Dog er det digitale sikkerhedsparadoks, at vi i forsøget på at beskytte både systemer og mennesker, risikerer at gøre det umuligt at navigere.

Vi har brug for forenkling og klarere vejledninger, men vi har også brug for, at virksomheder tager førertrøjen på og siger: Vi vil ikke bare være compliant. Vi vil være forberedt.