Det er ikke cyberangrebet, der udløser tilsynet efter NIS2. Det er jeres referater. Eller rettere, fraværet af dem.
Scenariet
Tirsdag formiddag ringer tilsynsmyndigheden. De beder om møde med bestyrelsen om jeres efterlevelse af NIS2.
De vil se referater, risikovurderinger og kursusbeviser fra de seneste tolv måneder. Inden fredag.
Det er her, sagen afgøres. Ikke om jeres firewall virker. Ikke om jeres backup fungerer. Om bestyrelsen kan dokumentere, at den har styret cybersikkerheden som et ledelsesansvar.
Formuleringen fra en dansk erhvervsorganisation
Det er ikke selve cyberhændelsen, der nødvendigvis udløser sanktioner, men manglende styring og manglende ledelsesmæssig forankring.
Det er præcis den skelnen, der afgør sager.
Hvad loven kræver af ledelsen
NIS2-loven trådte i kraft i Danmark den 1. juli 2025 og flytter cybersikkerhed fra IT-afdelingen til bestyrelseslokalet.
Ledelsesorganet skal godkende cybersikkerhedsforanstaltningerne, føre tilsyn med implementeringen, sikre ressourcer og selv gennemføre relevant uddannelse.
Loven opererer med en trappe af konsekvenser. Virksomheden kan idømmes bøder på op til to procent af den globale årlige omsætning eller ti millioner euro. Ledelsen kan ifalde personligt ansvar.
Det er samme mønster som i de afgørelser, hvor det afgørende var, hvad organisationen kunne dokumentere.
Hvad der skal ligge klar
Referater, hvor cybersikkerhed er behandlet som punkt, ikke som orientering. Risikovurderinger med dato. Dokumentation for, at ledelsen har gennemført uddannelse. Og beslutninger om accepteret risiko, skrevet ned.
Det sidste er det, de færreste har. En dokumenteret afvejning er noget andet end et fravær.
Tre ting I kan gøre
Sæt cybersikkerhed på som fast punkt på et bestyrelsesmøde om året, med en skriftlig indstilling.
Saml den dokumentation, et tilsyn ville bede om, mens der er ro. Se hvad der mangler.
Skriv de beslutninger ned, hvor I bevidst accepterer en risiko. Med begrundelse og dato.
Hvad kan I fremvise
Kunne jeres bestyrelse dokumentere tolv måneders styring med tre dages varsel?
En NIS2-audit er det format, tilsynet beder om, og den viser, hvad der mangler, før nogen spørger.
Har du brug for en gennemgang? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
Gør som 4.500+ andre. Få mønstre fra 500 dokumenterede sager og konkrete anbefalinger om cybersikkerhed og digital suverænitet hver 14. dag.
