NIS 2 og styreansvar: Hvordan kurse ledergruppen på 45 minutter?

EUs NIS 2-direktiv og den norske digitalsikkerhetsloven introduserer et fundamentalt paradigmeskifte: Cybersikkerhet er ikke lenger overlatt til IT-avdelingen alene. Ansvaret er nå plassert direkte på bordet til styret og toppledelsen. Regelverket stiller eksplisitte krav om at ledelsen har en lovpålagt plikt til å gjennomføre regelmessig opplæring for å kunne vurdere cyberrisiko og godkjenne sikringstiltak. Ved alvorlige forsømmelser som fører til kritiske hendelser, kan toppledere og styremedlemmer holdes personlig ansvarlige, i ytterste konsekvens med midlertidig suspensjon fra ledende verv.

For en CISO eller sikkerhetsleder i norske virksomheter oppleves likevel dette som en krevende oppgave. Hvordan gjennomfører man en troverdig cybersikkerhetsopplæring for en travel toppledelse bestående av administrerende direktør, finansdirektør og driftsdirektør, når man kun får tildelt et trangt tidsvindu på tre kvarter? Å presentere 80 lysbilder om Zero Trust-arkitektur eller krypteringsstandarder vil garantere umiddelbar frakobling. For å gjøre inntrykk og innfri de regulatoriske kravene, må dere endre metode.

Hvilket format bør man velge for å lære opp ledergruppen i cybersikkerhet under NIS 2?#

Kort oppsummert: For å lære opp en ledergruppe på 45 minutter, er en interaktiv og beslutningsorientert krisesimulering det mest effektive formatet. Dropp teknisk teori: konfronter lederne umiddelbart med reelle økonomiske, juridiske og omdømmemessige dilemmaer for å forankre det personlige ansvaret som kreves under NIS 2 og digitalsikkerhetsloven.

Tiden til ledergruppen og styret er knapp. Tradisjonell tavleundervisning skaper en passiv holdning der deltakerne raskt sjekker e-post under bordet. En handlingsorientert tilnærming fanger derimot oppmerksomheten umiddelbart ved å sette beslutningstakerne direkte overfor deres egne ansvarsområder.

Fjern teknisk sjargong til fordel for forretningsmessige konsekvenser

Ledergruppen trenger ikke å forstå den binære virkemåten til skadevare. Deres oppgave er å håndtere helhetlig virksomhetsrisiko. Sikkerhetsøkten må derfor oversette tekniske konsepter til konkrete forretningsindikatorer:

• Driftsavbrudd og verdikjedekollaps: Hva koster én time med full stans i forretningskritiske systemer, ERP eller industriell infrastruktur?
• Juridisk risiko og varslingsfrister: Hva innebærer de strenge kravene til tidlig varsling innen 24 timer til NSM (Nasjonal sikkerhetsmyndighet) og NorCERT, samt kravene fra Datatilsynet ved databrudd?
• Omdømmetap og markedsreaksjoner: Hvordan håndterer dere kunder, media og børsen dersom sensitive forretningshemmeligheter legges ut for salg?

For å gjennomføre denne pedagogiske omstillingen effektivt, gir bruk av et interaktivt simuleringsverktøy svært gode resultater. Dette er hensikten bak Cybersecurity is not a game, et skreddersydd simuleringsverktøy for cyberkrisehåndtering fra Brain Security, utviklet for å trene ledergruppen og kriseledelsen på reelle dilemmaer.

Den optimale tidsplanen for en intensiv 45-minutters treningsøkt#

Kort oppsummert: En effektiv 45-minutters workshop deles inn i tre faste faser: 10 minutter juridisk gjennomgang av lederansvaret under NIS 2, 25 minutter sanntidssimulering av et cyberangrep med strategiske dilemmaer, og 10 minutter oppsummering for å prioritere konkrete tiltak.

For å oppnå maksimal effekt uten å sprekke tidsrammen, må agendaen styres med stor presisjon.

```

00:00 - 00:10 | NIS 2, digitalsikkerhetsloven og personlig styreansvar

00:10 - 00:35 | Krisesimulering i sanntid (reelle lederbeslutninger)

00:35 - 00:45 | Strategisk oppsummering og handlingsplan

```

1. De første 10 minuttene: Regulering og personlig ansvar

Start økten uten tekniske innledninger. Legg frem de regulatoriske realitetene: NIS 2 og den norske digitalsikkerhetsloven fordrer aktiv involvering fra ledelsen. Gjør det klart at delegasjon til IT-avdelingen ikke lenger fjerner det juridiske ansvaret fra styremedlemmer og toppledere. Vis en oversikt over de tre sentrale pliktene: godkjenning av sikkerhetstiltak, tilsyn med implementeringen og obligatorisk opplæring for ledelsen.

2. De midterste 25 minuttene: Ilddåpen gjennom simulering

Plasser ledergruppen midt i et realistisk scenario tilpasset deres bransje:

• Minutt 12: Mistenkelig aktivitet oppdages på sentrale kjernesystemer midt under et viktig månedsoppgjør. Skal fjerntilgang kobles fra med risiko for å stanse hele driften?
• Minutt 18: Løsepengekrav mottas og sikkerhetskopiene ser ut til å være berørt. Hvem uttaler seg internt til de ansatte, og hvem godkjenner ekstern kommunikasjon?
• Minutt 27: Fristen for 24-timers tidlig varsling til tilsynsmyndighetene nærmer seg. Juridisk direktør og kommunikasjonsansvarlig er uenige om hva som skal kommuniseres offentlig.

Når ledergruppen må ta disse strategiske valgene under tidspress, forstår de raskt at cybersikkerhet i praksis er en kjerneoppgave innen kriseledelse og styringsansvar.

3. De siste 10 minuttene: Overgang til handling og prioritering

Avslutt med en ærlig evaluering av valgene som ble tatt under øvelsen. Hvor oppsto det flaskehalser i informasjonsflyten mellom lederne? Hvilke investeringer må prioriteres i tråd med NSMs grunnprinsipper for IKT-sikkerhet for å dekke disse hullene? På denne måten transformeres et regulatorisk krav til et strategisk verktøy for virksomhetsstyring.

Hvordan opprettholde sikkerhetskulturen i ledergruppen etter øvelsen?#

Etterlevelse av NIS 2 og digitalsikkerhetsloven stopper ikke ved en enkelt årlig samling. Tilsynsmyndigheter vurderer om sikkerhetsarbeidet er kontinuerlig og om sikkerhetskulturen er reelt forankret i toppledelsen.

• Innføre et fast sikkerhetspunkt på kvartalsmøtene: Sett av 10 minutter hvert kvartal til å evaluere det aktuelle trusselbildet og sikkerhetsstatusen i virksomheten.
• Dokumentere all gjennomført opplæring: Loggfør dato for øktene, deltakerlister og beslutninger som fattes, slik at virksomheten kan legge frem dokumentasjon overfor revisorer og tilsyn.
• Teste ledelsens krisehåndtering jevnlig: Suppler strategiske diskusjoner med jevnlige simuleringer av kriseledelsen for å sikre at eskaleringsrutinene fungerer i praksis.

Ved å innta en pragmatisk rolle med fokus på virksomhetsstyring og risikohåndtering fremfor tekniske detaljer, etablerer CISO et sterkt partnerskap med toppledelsen samtidig som virksomheten ivaretar sine regulatoriske forpliktelser.

Ønsker dere å gjøre lovkravene i NIS 2 om til en engasjerende arena for strategisk samhandling i ledergruppen? Ta kontakt med oss for å planlegge en skreddersydd simulering tilpasset deres virksomhet.

BRAIN SECURITY I PRAKSIS · Cybersecurity is not a game

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• TISAX i bilindustrien: Mestre menneskelige faktorer og sikkerhetskultur (Compliance (NIS 2, DORA, ISO)) : Lær hvordan du oppfyller TISAX-kravene for menneskelige faktorer, prototypebeskyttelse og cyberbevissthet i R&D og på fabrikkgulvet.
• SOC 2 Type II revisjon: Slik strukturerer og dokumenterer du sikkerhetsopplæring over 12 måneder (Compliance (NIS 2, DORA, ISO)) : Lær hvordan du dokumenterer kontinuerlig sikkerhetsbevissthet over 12 måneder for å bestå SOC 2 Type II revisjonen uten friksjon.
• PCI DSS v4.0 Krav 12.6: Nye Forventninger til Sikkerhetsbevissthet og Phishing (Compliance (NIS 2, DORA, ISO)) : Oppdag kravene i PCI DSS v4.0 krav 12.6 for sikkerhetskultur: sosial manipulering, phishing og årlig revisjon av opplæring for norske virksomheter.
• Sikkerhetskultur for kritisk infrastruktur og energi: Møt hybride cybertrusler (Industries & Roles) : Hvordan trene operatører i kritisk infrastruktur mot IT- og OT-angrep? Bygg varige krisereflektser i tråd med Digitalsikkerhetsloven og NSM.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cybersecurity is not a game : Interaktiv krisesimulering og beslutningsøvelse (Cybersecurity is not a game) for ledergrupper og sikkerhetsteam.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)