NIS2: Hvad rammer SMV-Danmark og hvad er klogt at gøre?

Direktivet retter sig mod kritisk infrastruktur og samfundsvigtige sektorer – energi, transport, sundhed, vand, digital infrastruktur, finansielle services, fødevarer, produktion af kritiske produkter og en lang række andre.

For SMV-Danmark bliver det relevant på to måder: nogle er direkte omfattet, men langt flere bliver ramt indirekte gennem leverandørkæden. Og uanset hvilken kategori man er i, er der NIS2-krav, der er fornuftige at adoptere – også frivilligt.

Hvem rammes direkte?

Direktivet sondrer mellem "væsentlige" og "vigtige" enheder. Tærsklen er typisk mellemstor virksomhed (fra omkring 50 ansatte eller 10 mio. EUR i omsætning) inden for de omfattede sektorer. Det betyder, at en del danske SMV'er pludselig står på listen, f.eks. inden for IT-services, digital infrastruktur, fødevareproduktion, transport og sundhed. 

Er man direkte omfattet, gælder kravene om risikostyring, hændelseshåndtering, leverandørstyring, krypterings- og adgangskontrolforanstaltninger, registrering, rapportering af alvorlige hændelser inden for 24/72 timer, og – ikke mindst – et personligt ledelsesansvar med mulighed for bødeansvar og krav om uddannelse af bestyrelse og direktion i cybersikkerhed.

Hvem rammes indirekte?

Endnu flere SMV'er bliver berørt gennem deres rolle som leverandør eller underleverandør til en NIS2-omfattet virksomhed. Når en kunde er underlagt direktivet, skal de stille krav til deres egen leverandørkæde – typisk i form af kontraktkrav, sikkerhedserklæringer, brud-notifikation, audit-rettigheder og dokumentation for kontroller. 

For mange SMV'er bliver det den reelle indgang til NIS2: man oplever det som "kunden vil have en ISAE 3000-erklæring", "kunden vil ind og auditere os", eller "kunden vil have hændelsesrapportering inden for 24 timer". Det er NIS2, der presser sig på bagvejen.

Hvad bør SMV'er gøre, selv om de ikke er direkte omfattet?

Vores anbefaling er at gå pragmatisk til det og bruge NIS2 som inspiration til en sund, basal cybersikkerhedshygiejne. Fem ting, der både gør virksomheden mere robust og gør den lettere at handle med:

• Risikobaseret tilgang: Få overblik over de største cyberrisici i forhold til forretningen, og prioritér de største.
• Basal hygiejne på plads: Multifaktor-login, opdaterede systemer, segmenterede backups, anti-phishing og rolle-baseret adgang. Det stopper langt størstedelen af det, der rammer SMV'er i praksis.
• Hændelseshåndtering: En enkel, kendt plan for hvad man gør, hvis det går galt – hvem ringer man til, hvad informerer man om, hvad er rolle- og ansvarsfordelingen?
• Leverandørstyring: Stil samme krav til jeres egne leverandører, som I selv begynder at få fra kunderne. Det er forsikring og forhandlingsstyrke i ét.
• Awareness og uddannelse: Korte, konkrete kurser i cybersikkerhed for medarbejdere – og for bestyrelse og ledelse. Det er både god ledelse og en NIS2-pligt for de direkte omfattede.

Særligt til de direkte omfattede

Er I omfattet, skal arbejdet startes nu. Det er ikke en compliance-øvelse, der løses på et kvartal. Vores typiske vej til en realistisk landing: kortlæg hvilken kategori I er i, lav en NIS2-gap-analyse op imod direktivets sikkerhedskrav, prioritér de største risici, læg en realistisk plan med ejerskab i ledelsen, og sørg for at bestyrelse og direktion får dokumenteret uddannelse i cybersikkerhed – det er et eksplicit krav. 

Husk også, at hændelsesrapporteringen er en operationel disciplin: 24 timer går hurtigt, og det skal være øvet, før det sker første gang.

Kort sagt: NIS2 er en regulering om kritisk infrastruktur, men virkningen rammer langt bredere end de virksomheder, der står på listen. For SMV-Danmark er det vores klare anbefaling at se NIS2 som en anledning til at få cybersikkerheden modnet – uanset om man er direkte omfattet eller ej. Det er både fornuftig forretningsbeskyttelse, en kommerciel fordel over for større kunder, og i sidste ende det, der gør, at I kan blive ved med at levere – også når det går galt.