NIS2 gör styrelsen personligt ansvarig – och kräver att de utbildas
Det pratas mycket om tekniken bakom NIS2: brandväggar, loggning, incidenthantering. Det som får mindre uppmärksamhet är att lagen faktiskt namnger vad ledningen måste göra, och en av punkterna är lätt att missa: styrelsen och VD ska genomgå utbildning i cybersäkerhet för att kunna fatta informerade beslut.
Det är ingen formalitet. Sedan cybersäkerhetslagen trädde i kraft i januari är ledningen personligt ansvarig för att godkänna och följa upp organisationens säkerhetsåtgärder, och tillsynsmyndigheterna kan i allvarliga fall utfärda tillfälliga förbud mot att inneha ledningspositioner. “Vi litade på att IT-avdelningen skötte det” fungerar inte längre som ansvarsfriskrivning – böterna kan gå upp mot 75 miljoner kronor för de allvarligaste fallen.
Det skapar en ovanlig situation: en lagstiftning där kompetenskravet ligger lika mycket i styrelserummet som i serverrummet. De flesta styrelser är vana vid att granska ekonomiska rapporter, inte att bedöma om en riskbedömning för cybersäkerhet är rimlig eller inte.
Vi ser redan att det blir en flaskhals för många bolag – inte tekniken i sig, utan att hitta rätt utbildning för just den målgruppen. En djup teknisk kurs för säkerhetsspecialister är fel nivå för en styrelse. Det som behövs är utbildning som ger tillräcklig förståelse för att ställa rätt frågor och fatta beslut, utan att kräva att ledamöterna blir säkerhetsexperter på köpet.
Det är den typen av kurs vi byggt på FutureSpex – riktad specifikt mot ledningsgrupper och styrelser som behöver kunna visa att de tagit sitt ansvar enligt lagen. Inte bara i teorin, utan med dokumenterad utbildning i ryggen om en tillsynsmyndighet frågar.
Källor:
Kommentarer