Ledningens ansvar: det som inte går att delegera bort

Kraven på riskhanteringsåtgärder riktar sig till verksamhetsutövaren, och det är ledningen som svarar för att de vidtas. Det räcker alltså inte att åtgärderna finns någonstans i organisationen. De ska vara beslutade och följda upp på en nivå som kan redogöra för dem.

NCSC beskriver föreskrifternas omfattning och tar med utbildningen i samma mening som de tekniska och organisatoriska åtgärderna. Det är en ovanligt konkret formulering för ett ledningsansvar.

Föreskrifterna reglerar tekniska, driftsrelaterade och organisatoriska åtgärder som verksamhetsutövaren behöver vidta för att skydda nätverks- och informationssystem samt vilken utbildning verksamhetsutövarens ledning ska genomföra för att uppfylla lagens krav.

Den vanligaste invändningen från svenska säkerhetschefer är att ansvaret placeras kosmetiskt. En roll skapas, en titel delas ut, och organisationsschemat ser ut att uppfylla kravet.

Problemet är att kravet inte handlar om vem som utför arbetet utan om vem som förstår och beslutar. En säkerhetsfunktion inne i IT rapporterar uppåt genom samma linje som den ska granska, och den kan inte fatta besluten åt ledningen.

Det praktiska testet är enkelt. Kan någon i ledningen redogöra för vilka risker som identifierats, vilka åtgärder som valts, och varför? Om svaret kräver att man hämtar in IT-chefen är ansvaret inte placerat där lagen placerar det.

Tillsyn handlar om underlag. Det som inte dokumenterats är i praktiken svårt att hävda, oavsett hur väl arbetet faktiskt fungerar.

Fyra saker är värda att ha på plats innan någon frågar efter dem.

1. 01Riskbedömningen, med datumVad ni identifierat, när, och vem som deltog. En odaterad bedömning går inte att koppla till ett beslut.
2. 02Ledningens beslut om åtgärderProtokollfört. Att åtgärder vidtagits är inte samma sak som att ledningen beslutat om dem.
3. 03Genomförd utbildningFöreskrifterna reglerar vilken utbildning ledningen ska genomföra. Deltagande och datum bör gå att visa.
4. 04UppföljningenAtt åtgärderna fungerar, inte bara att de infördes. Det är här ett verifierat test ger underlag som en tillsynsmyndighet kan läsa.

Föreskrifterna reglerar vilken utbildning ledningen ska genomföra. Det är ovanligt konkret för ett ledningsansvar, och det gör utbildningen till något som ska gå att visa upp snarare än något man avser att göra.

Praktiskt betyder det att deltagande och datum bör dokumenteras på samma sätt som ett styrelsebeslut. En genomförd utbildning som ingen registrerat är svår att åberopa.

Kraven handlar om riskhantering, och riskhantering är en löpande verksamhet. Att en åtgärd infördes vid ett tillfälle säger ingenting om huruvida den fortfarande fungerar.

Det är här skillnaden mellan dokumentation och bevis går. Ett policydokument visar en avsikt. Ett verifierat test visar ett tillstånd, och det är det senare som svarar på frågan om skyddet håller.

Rapporteringsfristerna är korta nog att de inte tål ett beslutsmöte. Direktivets artikel 23 anger en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.

Det ledningen behöver ha beslutat i förväg är vem som får avgöra att tröskeln för betydande incident är nådd, och vem som får skicka rapporten. Fattas det beslutet under en pågående incident är 24 timmar en mycket kort tid.

NIS2-direktivets artikel 34 sätter tak för sanktionsavgifter på minst 10 000 000 euro eller 2 procent av global omsättning för väsentliga verksamhetsutövare, och 7 000 000 euro eller 1,4 procent för viktiga. Det högre beloppet gäller.

Vilka sanktioner som gäller enligt den svenska lagen framgår av lagtexten, och den siffran återger vi inte här eftersom vi inte verifierat den mot lagtexten. Det är en fråga att ställa till er tillsynsmyndighet eller till ett juridiskt ombud.