Cybersikkerhed er en del af forretningen

Selvom begreberne ofte bruges i flæng, dækker de over forskellige områder. IT-sikkerhed omfatter de tekniske løsninger, der beskytter virksomhedens systemer, netværk og data. Cybersikkerhed fokuserer på at forebygge, opdage og håndtere digitale trusler og cyberangreb mod virksomhedens IT-miljø. Informationssikkerhed har et bredere perspektiv og omfatter også organisation, processer, governance og medarbejdere med det formål at sikre informationers fortrolighed, integritet og tilgængelighed.

Cybersikkerhed er først og fremmest et ledelsesansvar. Bestyrelse og direktion har ansvaret for, at virksomheden arbejder systematisk med cyberrisici og etablerer passende sikkerhedsforanstaltninger. Den praktiske implementering kan ske og sker ofte i samarbejde mellem ledelsen, CIO, CTO, CISO, DPO og øvrige nøglefunktioner.

NIS2 er med til at styrke cybersikkerhedniveauet i samfundskritiske og væsentlige sektorer. GDPR stiller krav til virksomheders og myndigheders behandling og beskyttelse af personoplysninger. DORA stiller krav til den finansielle sektors digitale operationelle robusthed. Mange organisationer skal derfor arbejde med flere regelsæt samtidig.

CER, også kaldet CER-direktivet, stiller krav om fysisk og organisatorisk modstandsdygtighed for virksomheder og myndigheder, der er udpeget som kritiske i en af elleve samfundsvigtige sektorer, herunder energi, transport, sundhed, drikkevand og digital infrastruktur. Hvor NIS2 har fokus på cybersikkerhed, retter CER sig mod fysiske og operationelle risici som sabotage, naturkatastrofer og systemnedbrud. Flere virksomheder er eller kan være omfattet af både NIS2 og CER, da direktiverne supplerer hinanden.

Cyber Resilience Act (CRA) er en EU-forordning, der stiller krav til cybersikkerheden i produkter med digitale elementer herunder software, hardware og opkoblede enheder. Formålet er at sikre, at produkter udvikles, markedsføres og vedligeholdes med et passende niveau af cybersikkerhed gennem hele deres livscyklus.

For virksomheder betyder CRA bl.a. nye krav til risikovurderinger, sikker udvikling, håndtering af sårbarheder, sikkerhedsopdateringer og dokumentation. Reglerne er særligt relevante for producenter, importører og distributører af produkter med digitale elementer, men kan også få betydning for virksomheder, der indkøber eller integrerer sådanne produkter i deres løsninger.

Et godt udgangspunkt er at skabe overblik over virksomhedens regulatoriske krav, identificere de væsentligste cyberrisici og prioritere de indsatser, der reducerer risikoen mest og samtidig understøtter forretningen.

Det vigtigste er at reagere hurtigt og struktureret. En IT-beredskabsplan bør beskrive ansvar, beslutningsgange, tekniske tiltag, kommunikation og eventuelle anmeldelsesforpligtelser.

Det afhænger af, hvilke regler virksomheden er omfattet af, og hvilken type hændelse der er tale om. Flere af de nye EU-regelsæt indeholder skærpede krav til rapportering af cybersikkerhedshændelser, og i nogle tilfælde kan en virksomhed være omfattet af flere anmeldelsespligter samtidig.

De væsentligste rapporteringsfrister er:

• GDPR: Hvis et brud på persondatasikkerheden indebærer en risiko for de registreredes rettigheder og frihedsrettigheder, skal hændelsen som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og senest 72 timer, efter virksomheden er blevet bekendt med bruddet.
• NIS2: Væsentlige sikkerhedshændelser skal som udgangspunkt varsles inden for 24 timer, efterfulgt af en hændelsesrapport inden for 72 timer og en endelig rapport senest én måned efter.
• DORA: Finansielle virksomheder skal som udgangspunkt indberette større IKT-relaterede hændelser inden for 4 timer, hvis hændelsen kategoriseres som en ”større” hændelse. Herefter følger en opdatering inden for 24 timer, en foreløbig rapport inden for 72 timer og en endelig rapport senest én måned efter.
• CER: Kritiske enheder skal som udgangspunkt anmelde væsentlige hændelser inden for 24 timer og indsende en endelig rapport senest én måned efter.
• CRA: Producenter af produkter med digitale elementer skal underrette om aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser inden for 24 timer. Derudover skal der som udgangspunkt indsendes en hændelsesrapport inden for 72 timer, en statusrapport senest 14 dage efter, hvis det vedrører en aktivt udnyttet sårbarhed og en endelig rapport senest én måned efter, hvis det vedrører en alvorlig hændelse.

Det er afgørende hurtigt at identificere, hvilke regler der gælder for den konkrete hændelse. Forsinket eller mangelfuld rapportering kan medføre betydelige regulatoriske konsekvenser og i nogle tilfælde bøder. Derfor bør virksomheder have klare procedurer for incident response og anmeldelse som en del af deres beredskabsplan.