NIS2 for styret

Hva er NIS2?

NIS2 står for Network and Information Security Directive 2, EUs nye regelverk for digital sikkerhet og beredskap. Direktivet gjelder i hele EU, og gjennom EØS-avtalen skal det også implementeres i Norge. NIS2 blir obligatorisk krav for norske virksomheter i utvalgte sektorer, med tydelige plikter for ledelse og styre.

Hvem omfattes av NIS2?

Hvis virksomheten deres er i, eller leverer til, noen av disse sektorene, så gjelder NIS2 dere.

Essensielle enheter (høyeste kravnivå)

Virksomheter som driver kritiske tjenester innen:

• Energi: Elektrisitet, kraftsystemer, olje og gass, fjernvarme
• Transport: Luftfart, jernbane, sjøtransport, vei- og logistikk
• Helse: Sykehus, laboratorier, kritiske helsetjenester
• Drikkevann og avløp
• Digital infrastruktur: Datasentre, skyleverandører, IX-er, telekom, DNS
• Bank og finansielle infrastrukturer
• Offentlig administrasjon
• Romfartssystemer

Viktige enheter (nest høyeste kravnivå)

Virksomheter som er betydningsfulle for nasjonal og europeisk økonomi:

• Post og budtjenester
• Avfallshåndtering
• Kjemikalier
• Produksjon og industri
• Fiskeri og matproduksjon
• IKT-tjenesteleverandører
• Forskning og FoU-miljøer
• Bredbånd, hosting, SaaS, MSP og leverandørkjedeaktører

Styret er ansvarlig

NIS2 gjør styret ansvarlig. Er dere forberedt?

Bøter opp til €10 mill. / 2 % omsetning. Krav til ledelse. Krav til dokumentasjon. Dette er nå en styresak, ikke et IT-tema.

Berigo hjelper styrer å få kontroll.

Book styrebriefing om NIS2

Hvorfor dette angår deg som styreleder

Hvis tilsynet kom i morgen, kunne styret dokumentere styring, kontroll og oppfølging?

NIS2 fastsetter:

• administrative bøter opptil 10 millioner euro / 2 % av global omsetning
• ansvar og oppfølgingsplikt for styret
• mulighet for vurdering av egnethet for ledelses- og styreverv ved alvorlig svikt
• pålegg rettet direkte mot styret
• krav om dokumentert risikostyring og internkontroll

Dette er ikke lenger en IT-sak. Det er virksomhetsstyring i ren form.

Derfor kontakter styreledere oss

Berigo gir styrer det de faktisk trenger:

• avklaring av om virksomheten er essensiell eller viktig
• hva som konkret gjelder for dem
• en realistisk og dokumenterbar plan for arbeid mot etterlevelse
• styrings- og kontrollstruktur som tåler tilsyn
• styremateriale uten teknisk støy
• trygghet i rollen

Kort sagt: Styrer trenger ikke mer detaljer. De trenger klarhet. Det er det vi leverer.

NIS2: Direktivet som nå tester styrets evne til å styre, og dokumentere det

Hvis virksomheten omfattes av NIS2, vil første tilsyn ikke spørre IT-avdelingen. De vil spørre styret.

De vil spørre hvordan styret har:

• fulgt opp risiko
• sikret styringssystem
• sørget for internkontroll
• etterspurt status
• satt krav til ledelsen
• dokumentert sin egen oppfølging

Og de vil forvente klare svar.

Manglende etterlevelse kan gi betydelige sanksjoner

NIS2 fastsetter at medlemsland skal kunne ilegge:

Essensielle enheter:

• opptil 10 millioner euro i administrative bøter, eller
• opptil 2 % av global omsetning

Viktige enheter:

• opptil 7 millioner euro, eller
• opptil 1,4 % av omsetning

(Directive (EU) 2022/2555, Art. 34)

Men det er ikke summene som gjør dette til en styresak. Det er ansvaret.

Det som berører styreleder direkte

NIS2 etablerer et formelt lederansvar som innebærer:

1. Individuell vurdering av egnethet

Ved alvorlig manglende oppfølging kan tilsynet vurdere om ledelses- og styrepersoner har fulgt opp sine plikter på et nivå som er forenlig med rollen. Det kan få betydning for muligheten til å inneha ledelses- eller styreverv fremover.

2. Pålegg rettet mot styret

Myndigheter kan rette tiltak direkte mot styret:

• krav om opplæring
• krav om styringsforbedringer
• krav om konkret oppfølging
• krav om endrede roller ved vesentlig svikt

3. Tilsynsprosesser som krever dokumentasjon

Ikke muntlige forklaringer. Ikke «vi jobber med det». Dokumentasjon.

Dette er et nivå norsk styreromskultur ikke tidligere har blitt testet på.

Refleksjon for styreleder

Hvis det ble tilsyn i morgen, kan du med trygghet si at styret har kontroll, oversikt og dokumentasjon?

Hvis svaret er usikkert, mangelfullt eller forbeholdt, så ligger risikoen ikke hos IT. Den ligger hos styret.

Det er her toppstyring og tilsyn møtes. Det er her ansvarlighet blir synlig. Og det er her en styreleder enten står støtt eller står eksponert.

Berigo gir styret tryggheten styret forventes å ha

Vi jobber direkte med styrer som ønsker:

• en tydelig avklaring: er virksomheten «essensiell» eller «viktig»?
• en presis vurdering av hvilke krav som faktisk gjelder
• en gjennomgang av risiko, dokumentasjon og styringsnivå
• en realistisk plan for arbeid mot etterlevelse
• dokumentasjon som tåler spørsmål fra tilsyn
• løpende støtte som gjør styret trygg på sin egen rolle

Det er ikke kompleksitet styret trenger. Det er klarhet.

Kontroll kan ikke improviseres

For en styreleder er ikke dette et spørsmål om vilje. Det er et spørsmål om kontroll.

Og kontroll kan ikke improviseres når myndighetene spør.

Kontakt Berigo

Vil du være trygg på NIS2?

Book en fortrolig styrebriefing. Vi viser status, risiko og hva som må gjøres, uten kompleksitet.

Book styrebriefing