NIS2 & DORA: Nu er bestyrelsen direkte ansvarlig for cybersikkerhed

Indførelsen af NIS2-direktivet og Digital Operational Resilience Act (DORA) markerer et fundamentalt skifte i, hvordan cybersikkerhed reguleres i Europa. Cyberrisiko betragtes ikke længere som et rent teknisk anliggende, der udelukkende håndteres af IT-afdelinger. Det er nu eksplicit anerkendt som en operationel risiko, hvor ansvaret ligger hos den øverste ledelse og bestyrelsen.

For organisationer, der opererer i regulerede eller kritiske sektorer, skærper disse direktiver kravene til forebyggelse, tilgængelighed og dokumenterbar kontrol. Myndigheder vil ikke kun vurdere, hvilke sikkerhedsværktøjer der er implementeret, men også om hændelser er blevet forebygget, hvordan risici overvåges, og hvordan ledelsen styrer cyberrobusthed.

E-mailsystemer, domæneinfrastruktur og DNS er centrale i denne sammenhæng, da de udgør nogle af de mest udnyttede og forretningskritiske angrebsflader.

Organisationer, der baserer sig på grundlæggende sikkerhed eller reaktive tilgange, kan få svært ved at leve op til de nye krav.

I denne artikel forklarer vi, hvorfor NIS2 og DORA er vigtige, hvad de betyder i praksis, og hvordan jeres organisation kan imødekomme kravene på en pragmatisk og bæredygtig måde.

Baggrunden for disse direktiver

EU’s NIS2-direktiv og forordningen Digital Operational Resilience Act (DORA) er indført som svar på et grundlæggende skifte i trusselslandskabet inden for cybersikkerhed samt de reelle konsekvenser, cyberhændelser har for økonomier, samfund og kritiske tjenester.

NIS2 udvider og styrker det oprindelige NIS-direktiv og øger markant antallet af organisationer, der er forpligtet til at håndtere cyberrisici. Formålet er at hæve det generelle niveau af cyberrobusthed på tværs af væsentlige og vigtige enheder - særligt dem, der leverer tjenester, som er kritiske for samfundet, økonomien og den offentlige tillid.

DORA gælder for den finansielle sektor uanset størrelse og omfatter også IKT- og digitale tjenesteudbydere, der understøtter finansielle institutioner, herunder cloud-, infrastruktur- og managed service-leverandører. Nogle leverandører kan være underlagt direkte regulatorisk tilsyn.

Sammen afspejler NIS2 og DORA en fælles realitet: Cyberhændelser er ikke længere isolerede IT-fejl. De forstyrrer kritiske tjenester, påvirker forsyningskæder og underminerer tilliden til samfundskritisk infrastruktur. Angreb er i stigende grad målrettede, vedvarende og designet til at omgå traditionelle, perimeterbaserede forsvar.

Angrebsmetoder har udviklet sig tilsvarende. Phishing- og impersonationskampagner, misbrug af domæner og DNS-baserede forstyrrelser er nu blandt de mest almindelige indgangspunkter for alvorlige hændelser, ofte uden at blive opfanget af grundlæggende eller standard sikkerhedskontroller.

Disse reguleringer adresserer denne udvikling ved at flytte fokus fra:

• Individuelle værktøjer → systematisk robusthed
•  IT-ansvar → ledelsesansvar
• Reaktiv respons → forebyggelse og dokumenterbar kontrol

Kort sagt spørger myndighederne ikke længere, hvilke sikkerhedsprodukter i anvender. De spørger, hvilke risici i har reduceret, hvilke hændelser i har forebygget, og hvordan i kan dokumentere det.

Den reelle betydning for virksomheder

En af de mest markante ændringer med NIS2 er en ny definition af ansvar. Cybersikkerhed betragtes ikke længere som et internt driftsanliggende. Den øverste ledelse er nu eksplicit ansvarlig for at sikre, at cyberrisici forstås, styres og reduceres.

Det betyder ikke, at ledelsen forventes at håndtere tekniske detaljer. Det betyder, at de skal forstå, hvordan cyberrisici påvirker forretningen, hvilke forebyggende tiltag der er implementeret, og hvordan hændelser kan rapporteres og forklares.

DORA understøtter dette ved at definere cyberrobusthed som en forudsætning for operationel kontinuitet. Forventningen er ikke kun, at organisationer reagerer på hændelser, men at de designer systemer og processer, der kan modstå forstyrrelser.

Hvilke virksomheder påvirkes mest af NIS2 og DORA?

NIS2 og DORA udvider markant omfanget af EU’s regulering af cybersikkerhed. De gælder ikke kun for kritiske og finansielle organisationer, men også for de digitale og infrastrukturelle leverandører, der understøtter dem.

NIS2 omfatter organisationer klassificeret som væsentlige eller vigtige enheder, herunder energi, transport, sundhed, bank- og finansiel infrastruktur, offentlig administration samt digital infrastruktur som cloud, datacentre og DNS. Mange understøttende brancher, herunder IT-services, logistik, produktion af kritiske produkter og forskning, er også omfattet.

DORA gælder for den finansielle sektor uanset størrelse og omfatter også IKT- og digitale tjenesteudbydere, der understøtter finansielle institutioner, herunder cloud-, infrastruktur- og managed service-leverandører. Nogle leverandører kan være underlagt direkte regulatorisk tilsyn.

Mange organisationer er omfattet af begge direktiver, særligt dem, der leverer digital infrastruktur eller sikkerhedsløsninger til finansielle eller kritiske enheder. I alle tilfælde gælder det, at ansvaret ligger hos den øverste ledelse, at forsyningskæder er omfattet, og at myndigheder forventer tydelig dokumentation for kontrol - ikke blot tekniske sikkerhedsforanstaltninger.

Konsekvenserne ved manglende compliance

Konsekvenserne ved manglende compliance rækker ud over bøder. Organisationer, der oplever hændelser uden at kunne dokumentere tilstrækkelige kontroller, kan blive mødt med audits, påbudte forbedringstiltag og omdømmeskade.

Der er også en ledelsesmæssig dimension. Når cyberhændelser opstår, stopper ansvaret ikke længere ved de tekniske teams. Den øverste ledelse forventes at kunne redegøre for beslutninger, beredskab og tilsyn. I den sammenhæng bliver det stadig sværere at retfærdiggøre en tilgang baseret på grundlæggende sikkerhed eller reaktive modeller.

At imødekomme kravene uden at øge kompleksiteten

At leve op til kravene i NIS2 og DORA kræver ikke nødvendigvis en radikal transformation. I mange tilfælde handler det om at styrke forebyggelse og synlighed i områder, der allerede er forretningskritiske i den daglige drift.

E-mailsikkerhed er et tydeligt eksempel. Som det mest almindelige indgangspunkt for cyberhændelser kræves e-mail kontroller, der kan stoppe moderne, målrettede angreb, før de når brugerne. Det reducerer både operationel risiko og compliance-eksponering.

Domænehåndtering er et andet ofte undervurderet område. Over tid opbygger organisationer ældre og tilstødende domæner, som fortsat er aktive og kan udnyttes. Kontinuerlig overvågning og centraliseret styring reducerer risikoen for impersonation og styrker ansvarligheden.

DNS-robusthed spiller en tilsvarende vigtig rolle. DNS-fejl kan øjeblikkeligt forstyrre digitale tjenester, hvilket gør tilgængelighed og kontinuitet til centrale regulatoriske fokusområder. At designe DNS-infrastruktur med fokus på robusthed og skalerbarhed understøtter både driftsstabilitet og compliancekrav.

Compliance handler om kontrol

Et centralt tema i NIS2 og DORA er fokus på dokumentation og kontrol. Organisationer forventes at kunne påvise:

• Hvilke risici der er identificeret
• Hvilke hændelser der er forebygget
• Hvordan tilgængelighed og robusthed sikres
• Hvem der har ansvaret

Tilgange, der kan integreres gnidningsfrit i eksisterende miljøer og reducere den operationelle belastning, hjælper organisationer med at bevæge sig fra reaktiv sikkerhed til proaktiv styring. Dette skifte understøtter ikke kun compliance, men styrker også den samlede robusthed.

Næste skridt: Et praktisk udgangspunkt

For mange organisationer er det mest værdifulde første skridt at opnå et klart, evidensbaseret overblik over den nuværende eksponering på tværs af e-mail, domæner og DNS, uden at forpligte sig til større forandringer.

En fokuseret analyse eller proof-of-concept kan hjælpe med at besvare spørgsmål som:

• Hvilke trusler overses i dag?
• Hvor er de største compliance-huller?
• Hvilken dokumentation kan fremvises ved en audit eller hændelsesgennemgang?

Vores NIS2 & DORA Cybersecurity Gap Checklistgiver et praktisk udgangspunkt for at vurdere sikkerhedskontroller inden for e-mail og DNS, identificere blinde vinkler og tydeliggøre, hvor der er behov for at styrke indsatsen.

Disse indsigter skaber et solidt beslutningsgrundlag på både teknisk og ledelsesmæssigt niveau og hjælper med at omsætte compliance fra teori til praksis.