Hva er NIS2?
NIS2 står for Network and Information Security Directive 2, EUs nye regelverk for digital sikkerhet og beredskap. Direktivet gjelder i hele EU, og gjennom EØS-avtalen skal det også implementeres i Norge. NIS2 blir obligatorisk krav for norske virksomheter i utvalgte sektorer, med tydelige plikter for ledelse og styre.
Hvem omfattes av NIS2?
Hvis virksomheten deres er i – eller leverer til – noen av disse sektorene, så gjelder NIS2 dere.
Essensielle enheter (høyeste kravnivå)
Virksomheter som driver kritiske tjenester innen:
- Energi
Elektrisitet, kraftsystemer, olje og gass, fjernvarme - Transport
Luftfart, jernbane, sjøtransport, vei- og logistikk - Helse
Sykehus, laboratorier, kritiske helsetjenester - Drikkevann og avløp
- Digital infrastruktur
Datasentre, skyleverandører, IX-er, telekom, DNS - Bank og finansielle infrastrukturer
- Offentlig administrasjon
- Romfartssystemer
Viktige enheter (nest høyeste kravnivå)
Virksomheter som er betydningsfulle for nasjonal og europeisk økonomi:
- Post og budtjenester
- Avfallshåndtering
- Kjemikalier
- Produksjon og industri
- Fiskeri og matproduksjon
- IKT-tjenesteleverandører
- Forskning og FoU-miljøer
- Bredbånd, hosting, SaaS, MSP og leverandørkjedeaktører
NIS2 gjør styret ansvarlig.
Er dere forberedt?
Bøter opp til €10 mill. / 2 % omsetning.
Krav til ledelse. Krav til dokumentasjon.
Dette er nå en styresak — ikke et IT-tema.
Berigo hjelper styrer å få kontroll.
Hvorfor dette angår deg som styreleder
Hvis tilsynet kom i morgen — kunne styret dokumentere styring, kontroll og oppfølging?
NIS2 fastsetter:
– administrative bøter opptil 10 millioner euro / 2 % av global omsetning
– ansvar og oppfølgingsplikt for styret
– mulighet for vurdering av egnethet for ledelses- og styreverv ved alvorlig svikt
– pålegg rettet direkte mot styret
– krav om dokumentert risikostyring og internkontroll
Dette er ikke lenger en IT-sak. Det er virksomhetsstyring i ren form.
Derfor kontakter styreledere oss
Berigo gir styrer det de faktisk trenger:
– avklaring av om virksomheten er essensiell eller viktig
– hva som konkret gjelder for dem
– en realistisk og dokumenterbar plan for arbeid mot etterlevelse
– styrings- og kontrollstruktur som tåler tilsyn
– styremateriale uten teknisk støy
– trygghet i rollen
Kort sagt:
Styrer trenger ikke mer detaljer. De trenger klarhet.
Det er det vi leverer.
NIS2: Direktivet som nå tester styrets evne til å styre – og dokumentere det
Hvis virksomheten omfattes av NIS2, vil første tilsyn ikke spørre IT-avdelingen.
De vil spørre styret.
De vil spørre hvordan styret har:
– fulgt opp risiko
– sikret styringssystem
– sørget for internkontroll
– etterspurt status
– satt krav til ledelsen
– dokumentert sin egen oppfølging
Og de vil forvente klare svar.
Direktivet er tydelig: Manglende etterlevelse kan gi betydelige sanksjoner
NIS2 fastsetter at medlemsland skal kunne ilegge:
Essensielle enheter:
– opptil 10 millioner euro i administrative bøter
eller
– opptil 2 % av global omsetning
Viktige enheter:
– opptil 7 millioner euro
eller
– opptil 1,4 % av omsetning
(Directive (EU) 2022/2555, Art. 34)
Men det er ikke summene som gjør dette til en styresak.
Det er ansvaret.
Det som berører styreleder direkte
NIS2 etablerer et formelt lederansvar som innebærer:
1. Individuell vurdering av egnethet
Ved alvorlig manglende oppfølging kan tilsynet vurdere om ledelses- og styrepersoner har fulgt opp sine plikter på et nivå som er forenlig med rollen.
Det kan få betydning for muligheten til å inneha ledelses- eller styreverv fremover.
2. Pålegg rettet mot styret
Myndigheter kan rette tiltak direkte mot styret:
– krav om opplæring
– krav om styringsforbedringer
– krav om konkret oppfølging
– krav om endrede roller ved vesentlig svikt
3. Tilsynsprosesser som krever dokumentasjon
Ikke muntlige forklaringer.
Ikke “vi jobber med det”.
Dokumentasjon.
Dette er et nivå norsk styreromskultur ikke tidligere har blitt testet på.
Den ubehagelige, men nødvendige refleksjonen for styreleder
Hvis det ble tilsyn i morgen – kan du med trygghet si at styret har kontroll, oversikt og dokumentasjon?
Hvis svaret er usikkert, mangelfullt eller forbeholdt,
så ligger risikoen ikke hos IT – den ligger hos styret.
Det er her toppstyring og tilsyn møtes.
Det er her ansvarlighet blir synlig.
Og det er her en styreleder enten står støtt – eller står eksponert.
Berigo gir styret den tryggheten styret forventes å ha
Vi jobber direkte med styrer som ønsker:
– en tydelig avklaring: er virksomheten «essensiell» eller «viktig»?
– en presis vurdering av hvilke krav som faktisk gjelder
– en gjennomgang av risiko, dokumentasjon og styringsnivå
– en realistisk plan for arbeid mot etterlevelse
– dokumentasjon som tåler spørsmål fra tilsyn
– løpende støtte som gjør styret trygg på sin egen rolle
Det er ikke kompleksitet styret trenger.
Det er klarhet.
For en styreleder er ikke dette et spørsmål om vilje. Det er et spørsmål om kontroll.
Og kontroll kan ikke improviseres når myndighetene spør.
Kontakt Berigo.
Ikke for å “bare» komme i gang med NIS2,
men for å sikre at du som styreleder
står trygt i det ansvaret direktivet nå legger på deg.
Styreleder:
Vil du være trygg PÅ NIS2 ?
Book en fortrolig styrebriefing.
Vi viser status, risiko og hva som må gjøres — uten kompleksitet.
