Ledelsesansvar

NIS2 artikel 20, stk. 1, pålægger medlemsstaterne at sikre, at ledelsesorganerne i væsentlige og vigtige enheder godkender de foranstaltninger til styring af cybersikkerhedsrisici, der træffes efter artikel 21, fører tilsyn med gennemførelsen og kan holdes ansvarlige for overtrædelser af artiklen. Artikel 20, stk. 2, kræver, at ledelsesorganets medlemmer deltager i uddannelse, og tilskynder enhederne til løbende at tilbyde medarbejderne tilsvarende kurser, så ledelsen kan identificere risici og vurdere praksis for risikostyring. Direktivet definerer ikke "ledelsesorgan"; det afgør national selskabsret, hvilket i den danske todelte model kan omfatte både bestyrelse og direktion. Den danske NIS2-lov gennemfører pligterne i § 7.

Håndhævelsen ligger i tilsynsartiklerne. Artikel 32, stk. 6, og artikel 33, stk. 5, kræver, at fysiske personer, der er ansvarlige for eller juridisk repræsenterer en enhed, kan holdes ansvarlige for at tilsidesætte deres pligt til at sikre, at reglerne overholdes, og artikel 32, stk. 5, litra b, giver mulighed for, kun over for væsentlige enheder og kun når andre tiltag har vist sig utilstrækkelige, midlertidigt at forbyde en person på niveau med administrerende direktør eller juridisk repræsentant at udøve ledelsesfunktioner. Den danske lov indeholder den tilsvarende beføjelse i § 23. Samme tankegang findes andre steder: DORA artikel 5, stk. 2, lader ledelsesorganet i en finansiel enhed bære det endelige ansvar for IKT-risici, og databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 lægger ansvarligheden på den dataansvarlige som organisation.

ISO/IEC 27001:2022 udtrykker samme idé i ledelsessystemets sprog. Afsnit 5.1 opregner, hvad topledelsen skal kunne påvise, fra at politik og mål passer til den strategiske retning, og at ressourcerne er til stede, til at lede medarbejderne, fremme løbende forbedring og støtte andre ledere på deres områder. Afsnit 5.2 lader topledelsen fastlægge politikken, 5.3 lader den fordele og kommunikere roller, og 9.3 kræver, at den evaluerer ISMS'et med planlagte mellemrum og dokumenterer sine beslutninger.

Den gennemgående misforståelse er, at pligten kan uddelegeres. Udførelsen kan uddelegeres til en CISO, en IT-afdeling eller en managed service-leverandør; godkendelse, tilsyn og ansvar kan ikke. I praksis leder tilsynsmyndigheder og auditorer efter dokumentation frem for erklæringer: referater, hvor bestyrelsen har godkendt foranstaltningerne og en risikoappetit, daterede kursusbeviser for hvert medlem, periodisk rapportering med tilknyttede beslutninger og opfølgning på auditfund. En underskrift på et politikdokument, som bestyrelsen aldrig har drøftet, tilfredsstiller sjældent hverken en auditor eller en tilsynsmyndighed.