Dataangrep:
En orientering fra IT-sjefen er ikke lenger nok

Denne kronikken ble først publisert av Finansavisen.

EU har bestemt at cybersikkerhet ikke lenger bare er et IT-anliggende. Med NIS2-direktivet blir digital risiko et styreansvar på linje med finans, compliance og HMS. Regelverket er ventet innført i Norge mot slutten av 2026, og vil gi norske ledere og styremedlemmer et tydeligere ansvar enn tidligere. Spørsmålet er ikke om virksomheten din kan bli rammet av cybertrusler, men om ledelsen kan dokumentere at den gjorde nok for å forebygge dem.

Tiden da styret kunne nøye seg med en årlig, beroligende orientering fra IT-sjefen, er ugjenkallelig forbi. Det nye regelverket krever ikke bare at ledelsen signerer på sikkerhetsstrategien; det krever at de faktisk forstår den. NIS2-direktivet slår fast at styremedlemmer har plikt til å gjennomgå jevnlig opplæring i cyberrisiko, uten at det er oppgitt noe fast intervall. Du kan med andre ord ikke lenger gjemme deg bak at du er «analog av natur».

De nye reguleringene er ikke et unødvendig byråkratisk påfunn fra Brussel.

Dette handler om corporate governance i sin mest moderne form. Hvis en virksomhet blir lammet av et cyberangrep, og det viser seg at styret har unnlatt å sette seg inn i risikoen, godkjent utilstrekkelige budsjetter eller ignorert advarsler, kan ansvaret ikke skyves over på IT-avdelingen alene. Da ligger ansvaret også i styrerommet. Og sanksjonene er ikke bare symbolske; de kan ramme hardt, både i form av store bøter og personlig ansvar.

I styrerom og ledergrupper er risiko et kjent språk. Likevel behandles cyberrisiko fremdeles for ofte som et isolert IT-problem, ikke som den finansielle trusselen den faktisk er. Et vellykket løsepengeangrep handler sjelden bare om låste PC-er. Det handler om driftsstans, produksjonsavbrudd, tapte kontrakter, svekket leveranseevne og tillit som kan ta år å bygge opp igjen.

I en stadig mer sammenkoblet økonomi er din bedrift sjelden det endelige målet; dere er inngangsporten til kundene deres. Hvis mangelfull sikkerhet hos dere fører til at en av deres største samarbeidspartnere blir rammet, snakker vi ikke bare om omdømmetap. Vi snakker om mulige erstatningskrav, kontraktsbrudd og tap av tillit som kan barbere bort store deler av selskapsverdien over natten. Cyberrisiko er markedsrisiko.

Skal norske selskaper navigere dette nye landskapet, må de handle nå. Det er ingen grunn til å vente. Det krever tre konkrete endringer i styrerommene:

For det første må cyberrisiko opp på agendaen på samme nivå som finansiell risiko og HMS. Det betyr faste oppdateringer, uavhengige vurderinger av sikkerhetstilstanden og reell testing av beredskapsplaner.

For det andre må styrene tørre å utfordre administrasjonen. Spør ikke om dere er trygge – for det er ingen – men hva planen er når angrepet treffer, hvor raskt virksomheten kan være tilbake i normal drift, og hva dere konkret gjør for å redusere risikoen.

Til slutt må styrene sikre riktig kompetanse rundt bordet. Hvis ingen forstår forskjellen på en bred phishing-kampanje og et målrettet forsyningskjedeangrep, har styret en kritisk kompetansemangel.

Digitaliseringen har gitt norsk næringsliv enorme konkurransefordeler, men den har også gjort oss sårbare på en måte vi historisk sett har vært for naive til å innse.

De nye reguleringene er ikke et unødvendig byråkratisk påfunn fra Brussel; de er en nødvendig oppstramming av et næringsliv som i for stor grad har løpt fra sikkerhetsansvaret sitt i jakten på digital effektivisering.

Neste gang du takker ja til et nytt styreverv, bør du derfor ikke bare granske årsregnskapet og strategipapirene. Du bør be om å få se selskapets risikovurdering for cybersikkerhet. Hvis den ikke finnes, eller hvis den er skrevet på et språk du ikke forstår, bør du tenke deg om to ganger. Risikoen er ikke lenger bare selskapets – den er også din.

Stemmer er ABC Nyheters debattseksjon. Dette er meningsytringer, og innholdet står for skribentens regning. Ønsker du å bidra? Send kronikk eller debattinnlegg til stemmer@abcnyheter.no.