Digitaliseringsloven – en nødvendig reality check?

Den nye digitaliseringsloven, som trådte i kraft 1. oktober, stiller strengere krav til både ledelse, varslingsrutiner og kontroll hele verdikjeden. De som ikke tar grep risikerer å miste kontrakter og stå uforberedt i møte med stadig mer sofistikerte trusler. Den nye digitaliseringsloven stiller strengere krav til både ledelse, varslingsrutiner og kontroll hele verdikjeden.

De som ikke tar grep risikerer å miste kontrakter og stå uforberedt i møte med stadig mer sofistikerte trusler. Digital krigføring er ikke lenger et fjernt scenario, men en del av vår virkelighet. Norske selskaper angripes daglig. Alt fra kommuner og helseforetak til industriselskaper og banker har erfart at et eneste hull i sikkerhetsnettet kan få store konsekvenser. Kritisk infrastruktur kan lammes, tjenester kan falle ut, og kostnadene kan løpe i millionklassen.

Det er nettopp derfor den nye digitaliseringsloven nå trer i kraft. Loven er en implementering av EUs NIS1-direktiv, men inkluderer også elementer fra NIS2 som allerede er gjeldende i EU. Det betyr at Norge tar et viktig steg i å sikre sin totalberedskap, samtidig som virksomheter får et helt annet ansvar for å beskytte seg selv og sine kunder.

Artikkelen fortsetter etter annonsen

annonsørinnhold

Kunnskap er bedriftens beste forsvar mot svindel

Fra IT-avdelingen til styrerommet

En av de mest markante endringene er at ansvaret for sikkerhet ikke lenger kan skyves nedover i organisasjonen. Loven peker eksplisitt på at ledelsen har et overordnet ansvar for å etablere og følge opp sikkerhetstiltak, og i henhold til NIS2 kan ledelsen også stilles personlig ansvarlig. For mange virksomheter innebærer dette et skifte i kultur, der digital sikkerhet går fra å være et støtteområde til å bli en topplederprioritet.

I første omgang gjelder loven for leverandører av samfunnskritiske tjenester som energi, transport, bank, finans-infrastruktur og digital infrastruktur. Og det handler ikke bare om egne systemer. Hele verdikjeden skal vurderes. Leverandører, underleverandører og samarbeidspartnere blir en del av sikkerhetsregnestykket. For noen selskaper vil dette bli en ubehagelig reality check, kanskje er det ikke egen virksomhet som er den svake lenken, men en partner man har tatt for gitt. 

Les også:

Telenor klager på 50 millioners-boten etter nødnummer-feil

Klinten skilles fra veten 

Som administrerende direktør i NetNordic ser jeg dette tydelig i møtet med norske virksomheter. Mange aktører, særlig innen kraft, bank og beredskap, har i flere år ligget foran lovkravene. De har investert tungt i sikkerhet og bygget robuste systemer. Men samtidig møter vi også selskaper som er langt fra kompatible med de nye lovkravene, som mangler oversikt over egne risikoer, og som ikke har rutiner for å håndtere et digitalt angrep.

Med den nye loven blir det ikke lenger rom for å vente. Leverandører som ikke kan dokumentere tilstrekkelig sikkerhet vil risikere å miste sine kontrakter. Kunder kommer til å stille strengere krav, og myndighetene vil kunne gripe inn med både bøter og tilsyn. Fire steg alle bør ta nå For norske selskaper er det nå fire ting som haster: 

1. Finn ut om dere omfattes av loven.
2. Få oversikt over dagens sikkerhetsnivå, inkludert leverandører.
3. Identifiser hullene i forhold til de nye kravene.
4. Tett hullene og dokumenter arbeidet. 

For de mest offensive er det i tillegg lurt å allerede nå se mot NIS2, som vil heve kravene ytterligere når det implementeres i Norge. Overgangen blir betydelig lettere for dem som har forberedt seg i tide. 

Når sikkerhet blir et konkurransefortrinn

Mange ser kanskje på dette som en kostnad. Men det å investere i sikkerhet er i økende grad et konkurransefortrinn. Fremtidige kontrakter vil bli avgjort på hvor godt man kan dokumentere sin digitale robusthet. Bedrifter som tidlig viser at de har kontroll vil stå sterkere både i markedet og i møte med myndigheter. Alternativet kan være dramatisk.

Da Jaguar Land Rover nylig ble utsatt for et omfattende cyberangrep, ble de økonomiske tapene estimert til 50 millioner pund per uke. Hvis et tilsvarende angrep rammer norsk kraftforsyning eller helsesektor, er det ikke bare økonomien som lider, men hele samfunnet. 

Digitaliseringsloven er mer enn et nytt regelverk. Den er en påminnelse om at vår tid krever en ny type beredskap. Det koster å sikre seg. Men prisen for å la være kan bli langt høyere, både for virksomheten selv, og i verste fall, for hele samfunnet. 

Les også:

TV 2 alene om å følge nye personvernregler