NIS2 i Danmark: Er din organisation klar til eksamen?

Første oktober passerede uden de store overskrifter. Men under radaren ramte en milepæl, der vil få afgørende betydning for Danmarks cybersikkerhed: Fristen for registrering under EU’s NIS2-direktiv.

Det er fristende at ånde lettet op, men sandheden er, at registreringen kun er første skridt. Den egentlige prøve kommer nu.

NIS2 er ikke en papirøvelse. Det er den mest vidtgående cybersikkerhedslovgivning i Europa, og den rammer tusindvis af danske organisationer på tværs af kritiske sektorer: Energi, finans, sundhed, transport, vandforsyning og digitale tjenester.

Direktivet kræver ikke bare krydser i bokse. Det kræver reel resiliens, gennemsigtighed og evnen til at stå oprejst, når angrebene rammer.

Og de rammer. Vi har allerede set energiselskaber kompromitteret via sårbare firewalls, og vi har set transportsektoren lammet, fordi en underleverandør måtte trække stikket. Hvis ikke vi tager NIS2 alvorligt, bliver sådanne hændelser hverdag.

Danmark valgte præcision – men tabte fart

Danmark har valgt en sektorspecifik model. Det giver mening på papiret, men i praksis betyder det, at vi er langt bagud. Mens energi og finans har taget føringen med DORA og CER som løftestænger, famler sundhed, transport og vandforsyning stadig efter klare rammer.

Kommuner og SMV’er står med ansvaret, men stadig med uklarhed om krav og forventninger. Digitale tjenesteudbydere er fanget i et limbo, hvor de allerede er bundet af EU-lov, men uden national støtte.

Vi kalder det en “strategisk afvejning”. Men lad os være ærlige: Mange organisationer står tilbage med usikkerhed omkring næste skridt og i endnu højere grad, hvordan en god løsning konkret bør se ud.

For bestyrelser og direktører er budskabet enkelt: Registrering er ikke lig med sikring. Det er ikke nok at være på listen. Man skal være klar, når krisen rammer!

Cybersikkerhed kan ikke længere parkeres i it-afdelingen eller outsources til konsulenter. Det er et ledelsesansvar. Og de ledelser, der ikke tager det ansvar på sig, gambler med både forretningen, kunderne og samfundet.

Staten skal levere – ikke bare forlange

Der hviler også et ansvar på myndighederne. Når sektorerne mangler bekendtgørelser, og vejledningen er uklar, så skaber det kaos. Når vi står splittet i vores forsvar, står vi åbne for dem, der søger adgang. Fragmenteret compliance er ikke blot en risiko – det er en invitation.

Hvis ikke vi får koordination på tværs af stat, regioner og sektorer, ender vi med et kludetæppe af løsninger, som angriberne let kan udnytte. Myndighederne, såsom Ministeriet for Samfundssikkerhed, er velplaceret til at løse denne opgave, og jeg ser frem til at se den fulde effekt af det nye ministerie.

Nu gælder det!

NIS2 er ikke en øvelse. Det er ikke et “nice to have”. Det er et eksistensvilkår for et digitalt Danmark, hvor truslerne er voksende og angriberne er velfinansierede og strategiske.

Den næste fase kræver klarhed, konsekvens og mod. Ikke flere hensigtserklæringer, men konkret handling, der skaber reel sikkerhed.

Så lad os sige det, som det er:

• Hvis din organisation tror, at registreringen var endemålet, tager du fejl!

• Hvis din bestyrelse ikke tager ejerskab, har du allerede tabt!

• Og hvis staten ikke leverer klare rammer, svigter vi som samfund!

Truslerne er virkelige. Direktivet er krævende. Men opgaven; at skabe et robust og sikkert Danmark, er til gengæld uomgængelig, hvis vi vil bevare vores frie (gennemdigitaliserede) levevis.

Spørgsmålet er: Har vi vedholdenheden til at løse den?