Under NIS2 er styrets ansvar personlig og dokumenterbart

De fleste styrer har en fast praksis for informasjonssikkerhet. Én gang i året kommer en orientering, gjerne fra IT-sjefen eller en ekstern leverandør. Lysbildene viser grønt, med noen gule punkter som allerede er under arbeid. Styret stiller et par spørsmål, og protokollen noterer at saken ble tatt til orientering.

Den praksisen har vært god nok i mange år. Under NIS2 er den ikke det. Ikke fordi de tekniske kravene er dramatisk strengere, men fordi direktivet flytter en konkret plikt fra linjen til styrebordet, og krever at plikten kan dokumenteres.

Hva direktivet faktisk pålegger ledelsen

Artikkel 20 bruker tre uttrykk om ledelsesorganets rolle: godkjenne, føre tilsyn med, og kunne holdes ansvarlig. De betyr tre forskjellige ting.

Godkjenne er en aktiv beslutning. Ledelsen skal godkjenne virksomhetens risikostyringstiltak, ikke motta dem. Det forutsetter at den som godkjenner har forstått hva som godkjennes, og at det finnes et beslutningsgrunnlag som viser hvilke alternativer som ble vurdert.

Føre tilsyn er en løpende plikt. Et vedtak i mars sier lite om tilstanden i november. Tilsyn betyr å etterspørre status, sammenligne med plan, og reagere når avviket vokser.

Ansvar betyr at plikten ikke forsvinner ved delegering. Arbeidet kan delegeres. Ansvaret for at arbeidet blir gjort, kan det ikke. Hvordan ansvaret gjøres gjeldende, er overlatt til nasjonal rett, og direktivet lar uttrykkelig de eksisterende ansvarsreglene for offentlige organer og offentlig ansatte stå urørt.

Kompetansekravet treffer personene, ikke funksjonen

Artikkel 20 stiller også et krav som fortsatt er uvanlig: medlemmene av ledelsesorganet skal selv gjennomgå opplæring, slik at de kan identifisere risiko og vurdere hva sikkerhetstiltakene betyr for tjenestene virksomheten leverer. Virksomhetene oppfordres i tillegg til å tilby tilsvarende opplæring til øvrige ansatte jevnlig. Kravet til ledelsen er altså en plikt; det som gjelder resten av organisasjonen er en oppfordring. Finanssektoren kjenner mønsteret fra DORA, som pålegger ledelsesorganet å holde sin egen IKT-kunnskap oppdatert.

Det er her avstanden blir synlig. Roger Ison-Haug, eier og faglig leder i Berigo, har forsket på sammenhengen mellom antall uønskede cyberhendelser og øverste ledelses kompetanse. Blant Norges 50 største selskaper på Kapital-listen hadde ett selskap ledere med formell utdanning innen cybersikkerhet. I Forbes Global 500 var tallet rundt ti av 500. Han oppsummerer det slik: «Det er et gap mellom toppledernes ansvar og deres faktiske kompetanse innen cybersikkerhet.»

Poenget er ikke at styremedlemmer skal bli teknologer. Det skal de ikke. Men de eier de strategiske valgene og prioriteringene, og da må de være gode bestillere og kontrollører: vite hva de skal be om, hvordan det skal følges opp, og hva som er et godt svar.

De ti tiltakene styret godkjenner

Artikkel 21 lister minimumstiltakene. Et styre som skal godkjenne dem, bør vite hva listen inneholder:

• retningslinjer for risikoanalyse og sikkerhet i informasjonssystemer
• håndtering av hendelser
• virksomhetskontinuitet, som sikkerhetskopiering, katastrofegjenoppretting og krisehåndtering
• sikkerhet i leverandørkjeden, herunder forholdet til direkte leverandører og tjenesteytere
• sikkerhet i anskaffelse, utvikling og vedlikehold, herunder håndtering og offentliggjøring av sårbarheter
• rutiner for å vurdere om tiltakene faktisk virker
• grunnleggende cyberhygiene og opplæring i sikkerhet
• retningslinjer for bruk av kryptografi og, der det er hensiktsmessig, kryptering
• personellsikkerhet, tilgangsstyring og oversikt over verdier
• flerfaktor- eller kontinuerlig autentisering, sikret tale-, video- og tekstkommunikasjon og sikret nødkommunikasjon, der det er hensiktsmessig

Kravet er ikke at alt skal sikres maksimalt. Artikkel 21 ber om tiltak som er egnede og forholdsmessige, vurdert opp mot teknologisk utvikling, kostnaden ved gjennomføring, virksomhetens størrelse og hvor eksponert den er. Tilnærmingen skal dekke alle farer, også fysisk sikring av systemenes omgivelser, ikke bare digitale angrep.

Forholdsmessighet er en vurdering, og en vurdering må gjøres av noen med fullmakt til å gjøre den. Det er den vurderingen styret godkjenner, ikke listen i seg selv. Et styre som ikke kan gjengi hvilken risiko det har akseptert, har i praksis ikke godkjent noe.

Essensiell eller viktig avgjør hvordan tilsynet arbeider

Direktivet deler virksomhetene i essensielle og viktige enheter, i hovedsak ut fra sektor og størrelse. Skillet betyr lite for hvilke tiltak som kreves, siden artikkel 21 gjelder begge, og mye for hvordan tilsynet utøves.

Overfor essensielle enheter kan myndighetene føre tilsyn på eget initiativ: stedlige kontroller, regelmessige og målrettede sikkerhetsrevisjoner, sikkerhetsskanninger og krav om bevis for at retningslinjene er gjennomført. Overfor viktige enheter er tilsynet i utgangspunktet etterfølgende. Myndighetene griper inn når de har indikasjoner eller opplysninger om mulig manglende etterlevelse, typisk etter en hendelse eller et varsel.

Forskjellen er praktisk. En essensiell enhet må kunne vise dokumentasjonen sin uten forvarsel. En viktig enhet må som regel vise den i den verst tenkelige uken: den rett etter en hendelse.

Fristene løper uansett hva styret vet

Artikkel 23 setter tre frister ved en betydelig hendelse. Tidlig varsel innen 24 timer og en mer utfyllende melding innen 72 timer, begge regnet fra virksomheten ble kjent med hendelsen, ikke fra den har oversikt over den. Sluttrapporten skal komme innen én måned, men den måneden løper fra 72-timersmeldingen, ikke fra hendelsen. Myndigheten kan i tillegg be om en statusrapport underveis.

Ved siden av varselet til myndighet eller CSIRT skal virksomheten uten ugrunnet opphold informere mottakerne av tjenesten om hendelser som kan påvirke leveransen til dem. Kundevarsling er en selvstendig plikt, ikke noe tilsynet må pålegge.

Omfatter hendelsen også personopplysninger, løper en parallell frist på 72 timer til Datatilsynet etter personvernforordningen artikkel 33. To regelverk, to mottakere, én hendelse. Direktivet forutsetter at myndighetene samhandler, og det stenger for bot etter NIS2 for et forhold som allerede er sanksjonert med overtredelsesgebyr etter personvernforordningen. Det fritar ingen fra å varsle begge steder.

Derfor må vurderingen av hva som er «betydelig», og fullmakten til å varsle, være avklart før hendelsen inntreffer. En organisasjon som må innkalle styret for å avgjøre om den skal varsle, bruker opp fristen på selve avklaringen.

Forskjellen på å ha dokumentasjon og å ha kontroll

Dette er skillet som avgjør hvordan et tilsyn forløper. Dokumentasjon er et bilde av en beslutning som ble tatt. Kontroll er evnen til å ta den samme beslutningen igjen, med samme kvalitet, når forutsetningene har endret seg.

Tre spørsmål skiller dem i praksis:

1. Beskriver dokumentet hvordan virksomheten faktisk arbeider, eller hvordan den hadde tenkt å arbeide?
2. Kan noen andre enn forfatteren handle på det, uten å ringe forfatteren?
3. Viser det en beslutning, med et alternativ som ble valgt bort, eller bare en beskrivelse?

Tilsynsmyndighetene kan kreve bevis for at retningslinjene er gjennomført. Spørsmålet er derfor sjelden om virksomheten har et dokument. Det er om den kan vise at dokumentet virker.

Hva tilsynet kan gjøre

Bøtenivåene er de mest siterte tallene i direktivet, og de siteres ofte litt upresist. Artikkel 34 pålegger medlemsstatene å ha en øvre ramme på minst 10 millioner euro eller 2 prosent av samlet global årsomsetning for essensielle enheter, og minst 7 millioner euro eller 1,4 prosent for viktige enheter, det høyeste beløpet i hvert tilfelle. Det er et minstekrav til hvor høyt taket skal ligge, ikke et anslag på hva en bot vil bli.

Reaksjonene som kommer først, er andre. Tilsynet kan gi advarsler, bindende pålegg om å rette forholdet, pålegg om å gjennomføre anbefalingene etter en sikkerhetsrevisjon, pålegg om å informere kunder om en betydelig cybertrussel, og pålegg om å offentliggjøre sider ved bruddet.

Overfor essensielle enheter kan myndigheten i tillegg oppnevne en kontrollør som følger etterlevelsen i en avgrenset periode. Og som siste utvei, når de øvrige tiltakene ikke har ført fram, kan en sertifisering eller tillatelse suspenderes midlertidig, og en person på øverste ledernivå, administrerende direktør eller den som rettslig representerer virksomheten, midlertidig nektes å utøve lederfunksjoner i den virksomheten. Begge deler varer til forholdet er rettet. Ingen av dem rammer styremedlemmer som sådan, og ingen av dem gjelder viktige enheter. Det er alvorlig nok uten forsterkning, og presisjonen er verdt å ta med inn i styrerommet sammen med tallene.

Det som treffer styret i praksis, er likevel enklere: om styret kan vise hva det visste, når det visste det, og hva det gjorde med det.

Hva som gjelder i Norge

Fristen for EUs medlemsstater var 17. oktober 2024. NIS2 er merket EØS-relevant, og norsk gjennomføring forutsetter at direktivet innlemmes i EØS-avtalen og følges opp i norsk rett. Norge har allerede vedtatt digitalsikkerhetsloven, som gjennomfører det forrige direktivet. Virkeområdet blir vesentlig bredere med NIS2.

Ett spørsmål avklares først i den norske gjennomføringen. Direktivet legger pliktene på «ledelsesorganet», et begrep som ikke er skreddersydd for norsk selskapsrett, der ansvaret er delt mellom styret og daglig leder. Inntil fordelingen er avklart, er det klokeste å behandle godkjenning, tilsyn og opplæring som styrets ansvar og gjennomføringen som daglig leders. Et styre som har gjort det, blir ikke overrasket av lovteksten.

For mange virksomheter kommer kravene før loven gjør det. Kunder, konsernmødre og offentlige oppdragsgivere skriver allerede NIS2-avledede krav inn i kontrakter og anbud, og en leverandør inn i et europeisk konsern møter kravene gjennom kontrakten uansett hva norsk rett sier på det tidspunktet. Den praktiske fristen settes av leverandørkjeden.

Et styre som har dette på plass, bruker ikke mer tid på sikkerhet enn andre styrer. Det bruker tiden annerledes: på færre lysbilder, og på flere beslutninger som fortsatt lar seg dokumentere et år senere.