Är ledningen redo att ta ansvar för cybersäkerheten?

Cybersäkerhet är sedan cybersäkerhetslagens införande på allvar en ledningsfråga. Ansvaret kan inte längre enbart läggas på IT-funktionen, utan styrelse och ledning behöver förstå verksamhetens cyberrisker, bedöma vilka säkerhetsåtgärder som krävs, följa upp arbetet och säkerställa att organisationen faktiskt är rustad att hantera cyberincidenter när de inträffar. 

Om detta ansvar missköts kan de legala påföljderna bli kännbara både för verksamheten och, ytterst, för enskilda personer i ledningen. Utöver bland annat administrativa avgifter kan myndigheter i vissa fall besluta om ledningsförbud för enskilda individer.

För att ledningen ska kunna ta detta ansvar krävs också kunskap, och utbildning är följaktligen också ett lagkrav. Från den 1 oktober träder därför nya föreskrifter och allmänna råd om ledningens utbildning i kraft. 

Hur ser det ut hos er? Är cybersäkerhet fortfarande något som främst hanteras av IT-avdelningen, eller har frågan tagit plats i styrelserummet där den hör hemma? 

Tre frågor som bör kunna besvaras i styrelserummet:

• Vilka är våra största cyberrisker?
• Vem har ansvar för att de hanteras?
• Hur vet vi att våra processer fungerar när de sätts på prov?

Även om cybersäkerhet nu är ett lagkrav för många är det hög tid att inte bara säkerställa lagefterlevnad, utan också börja se cybersäkerhet som en strategisk möjlighet både ur ett riskperspektiv och ur ett affärsperspektiv.  

Kontakta gärna Sara Malmgren om ni har frågor om cybersäkerhetslagen/NIS2, eller vill diskutera vad kraven innebär för er verksamhet. Sara håller även regelbundet utbildningar i cybersäkerhet för både styrelser, ledningsgrupper och medarbetare.