Der findes ikke et fast tal. Tiden afhænger af, hvor meget der allerede er på plads, hvor mange systemer og leverandører virksomheden har, og hvor hurtigt ledelsen træffer de beslutninger, arbejdet venter på. Loven har været i kraft siden 1. juli 2025, så omfattede virksomheder har brug for en plan med etaper, som ledelsesorganet tager stilling til nu, og som viser, hvornår hvert af de ti minimumskrav i § 6 er dækket. Den plan er i sig selv et udtryk for, at ledelsen tager ansvaret alvorligt.
Hvad tiden afhænger af
Fem forhold betyder mere end virksomhedens størrelse.
- Udgangspunktet. En virksomhed med flerfaktor-login, testet backup og en opdateret leverandørliste er langt foran en, der starter fra bunden.
- Antallet af leverandører. Hver leverandør med adgang til systemer eller data skal vurderes og have krav. Jo flere, jo længere tid.
- Beslutningshastigheden. Mange opgaver står stille, fordi en beslutning om risikovillighed, budget eller ansvar ikke er truffet.
- Interne ressourcer. Nogen i virksomheden skal bruge tid på at levere oplysninger, godkende procedurer og følge dem.
- Krav ud over loven. Kunder eller forsikringsselskab kan stille krav, der skal indarbejdes samtidig.
De første beslutninger
Før arbejdet kan planlægges, skal ledelsen tage stilling til nogle få grundlæggende spørgsmål. De tager sjældent lang tid at besvare, men de blokerer alt andet, hvis de udskydes.
- Hvem er ledelsesorganet efter loven, og hvem i direktionen ejer arbejdet? Spørgsmålet er gennemgået i hvem er ledelsesorganet efter NIS2-loven.
- Hvem leder arbejdet i praksis, og med hvilket mandat?
- Hvilken risikovillighed har virksomheden, dvs. hvor meget risiko er ledelsen parat til at acceptere for at undgå omkostninger eller forstyrrelser?
- Hvor ofte vil ledelsen have status, og i hvilken form?
Når de fire svar foreligger, kan der lægges en realistisk plan, og arbejdet kan fordeles mellem interne medarbejdere, leverandører og den eksterne CISO.
Hvorfor en godkendt plan er bedre end at vente
Nogle ledelser venter med at forholde sig til NIS2, til der er et færdigt sæt dokumenter at godkende. Det er en dårlig idé af tre grunde.
For det første lægger § 7 både godkendelsen og tilsynet med gennemførelsen hos ledelsesorganet. Tilsyn med noget, der endnu ikke er sat i gang, giver kun mening, hvis der er en plan at føre tilsyn med.
For det andet er en del af kravene hurtige at indføre og fjerner meget risiko. Dem bør ledelsen ikke vente med, til helheden er færdig.
For det tredje viser en godkendt plan med datoer og ejere, at virksomheden arbejder systematisk. Det er værdifuldt, hvis den kompetente myndighed beder om dokumentation, og når kunder spørger. Hvad ledelsen gør, hvis myndigheden henvender sig, står i den kompetente myndighed beder om dokumentation.
En plan i etaper
Forestil jer en vigtig enhed inden for engroshandel med 70 ansatte, én driftsleverandør og ti cloudtjenester. En plan kunne se sådan ud.
- Etape 1: Overblik. Systemer, data, leverandører og eksisterende foranstaltninger kortlægges. Største mangler forelægges direktionen.
- Etape 2: Hurtige tiltag. Flerfaktor-login, kontrol af backup, gennemgang af administratorrettigheder og en simpel beredskabsplan med kontaktliste.
- Etape 3: Styring. Risikovurdering, informationssikkerhedspolitik og procedurer, godkendt af ledelsesorganet.
- Etape 4: Leverandører og medarbejdere. Sikkerhedskrav i leverandøraftaler og kurser for ledelse og ansatte.
- Etape 5: Drift af systemet. Fast opfølgning, måling af effekt og årlig gennemgang.
Hvor længe hver etape varer, afhænger af de fem forhold ovenfor. Det vigtige er, at ledelsen kender rækkefølgen, ved, hvad der er nået, og kan se, hvad der venter på en beslutning fra dem. Hvordan rækkefølgen begrundes, står i prioritering af sikkerhedsarbejdet.
Hvad der forsinker arbejdet
De mest almindelige forsinkelser skyldes sjældent teknik. De skyldes, at en leverandør er længe om at svare, at en beslutning venter på næste bestyrelsesmøde, eller at den interne kontaktperson ikke har fået tid til opgaven. En ekstern CISO kan holde arbejdet i gang, men kan ikke træffe ledelsens beslutninger.
Tre enkle greb reducerer ventetiden. Ledelsen kan give CISO’en en fast plads på dagsordenen, så beslutninger ikke venter på et ekstraordinært møde. Den kan udpege en intern kontaktperson med tid afsat i kalenderen. Og den kan aftale med leverandørerne, hvor hurtigt de skal svare på spørgsmål om sikkerhed, gerne som en del af aftalen. Hvordan leverandørerne inddrages, er beskrevet i leverandørstyring på sikkerhed.
Det skal I lade være med
- At vente på det færdige resultat, før ledelsen involveres. Godkendelse og tilsyn begynder med planen.
- At sætte en dato uden at kende udgangspunktet. En frist uden kortlægning bliver enten for stram eller for løs.
- At lade alle krav starte samtidig. Det spreder kræfterne og giver langsom fremdrift overalt.
- At glemme de hurtige tiltag. De kan indføres, mens resten af planen bliver til.
- At betragte NIS2 som et projekt med en slutdato. Når foranstaltningerne er på plads, skal de vedligeholdes.
Det skal I kræve af den eksterne
- ☐ En kortlægning af udgangspunktet, før der gives en tidsplan.
- ☐ En plan i etaper med ejer, dato og afhængigheder for hver opgave.
- ☐ En liste over de beslutninger, der venter på ledelsen, og hvornår de skal træffes.
- ☐ Status til direktionen med fast interval, der viser fremdrift mod hvert af de ti minimumskrav.
- ☐ Ærlighed om forsinkelser og deres årsag, også når årsagen ligger hos ledelsen.
- ☐ Anbefalinger, der ikke afhænger af, hvilke leverandører rådgiveren har aftaler med.
Sådan kommer I i gang
Bed om en kortlægning af, hvor I står i forhold til de ti krav i § 6, stk. 1, og få svarene på de fire grundspørgsmål på næste direktionsmøde. Derefter kan I godkende en plan, også selv om den første udgave er grov. Temasiden om ledelsens ansvar efter NIS2 samler rammen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, om de ti minimumskrav, § 7 om ledelsesorganets godkendelse, tilsyn og kurser og § 33 om ikrafttræden 1. juli 2025.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: myndighedens gennemgang af foranstaltningerne og den risikobaserede tilgang.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Registreret efter NIS2: hvad skal ledelsen gøre nu? · Bliver sikkerhedsarbejdet nogensinde færdigt?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
