“Vigtig enhed, ikke væsentlig.” De fleste trækker vejret lettet, når de hører det. Det er den forkerte reaktion.
Kravene er de samme
NIS2-loven deler de omfattede op i to grupper: væsentlige enheder og vigtige enheder. SAMSIK skriver det tydeligt: Kravene til de to grupper er i udgangspunktet ens. Det, der adskiller dem, er tilsynet og sanktionerne.
Forskellen er ikke, hvor meget I skal gøre. Det er, hvornår nogen opdager, at I ikke gjorde det.
Væsentlige enheder: Tilsyn uden at noget er galt
For væsentlige enheder kan myndigheden foretage kontrol på stedet uden retskendelse, køre stikprøvekontroller og kræve regelmæssige sikkerhedsaudits. Den kan også kræve, at I får et kvalificeret uafhængigt organ til at gennemføre en audit og udleverer resultatet.
En væsentlig enhed kan altså blive udtaget til kontrol, uden at noget er gået galt. Det er proaktivt tilsyn.
Vigtige enheder: Første gang er den værste
For vigtige enheder er tilsynet reaktivt. Myndigheden bruger sine beføjelser, når den har indikationer på, at noget ikke er, som det skal være.
Signalet behøver ikke være et angreb. Det kan være en hændelsesunderretning eller en klage. Men det kan være et angreb. Og så skal I dokumentere en risikostyring, ingen har kigget på i to år, mens jeres folk arbejder i døgndrift på at holde forretningen kørende.
Samme krav. Værst tænkelige uge.
Bøderne fungerer anderledes end de fleste tror
Sanktionerne i Danmark fungerer anderledes, end mange antager. Loven fastsætter bødestraf, men nævner hverken beløb eller procenter. Den danske NIS2-lov giver ikke tilsynsmyndigheden adgang til selv at udstede administrative bøder. Overtrædelser følger den almindelige strafferetlige vej.
De tal på 10 og 7 millioner euro, der cirkulerer i artikler og leverandørpræsentationer, kommer fra EU-direktivet. De står ikke som faste bødelofter i den danske lov.
Millionbeløbene står ikke i loven. Strafansvaret gør.
Tre ting at gøre nu
Skriv ned, om I er væsentlig eller vigtig enhed, og hvorfor. Henvis til sektor, aktivitet, størrelse og den bestemmelse, vurderingen bygger på. Det er det første, en tilsynsmyndighed vil spørge om.
Fremskaf jeres dokumentation, som om en myndighed havde bedt om den i dag. Tag tid på det. Tiden er jeres reelle svar på, hvor klar I er.
Find det uafhængige organ, I ville bruge til en påbudt audit. Og find ud af, hvem hos jer der har mandat og budget til at bestille den. Det er ikke opgaver, man begynder at løse, når påbuddet ligger i indbakken.
En NIS2-audit fra en uafhængig specialist kan give jer det overblik, myndigheden vil bede om, før myndigheden beder om det.
Hvis I fik et påbud om uafhængig audit i morgen, hvem ville I ringe til, og hvor lang tid ville der gå, før de kunne begynde?
Har du brug for en uafhængig NIS2-audit?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
