Hvordan får vi ledelsen til at forstå, at DORA og NIS2 ikke bare er IT-afdelingens problem?

Det er vigtigt at præsentere DORA og NIS2 som mere end blot IT-udfordringer; de er strategiske spørgsmål, der påvirker hele organisationen. Start med at oversætte de komplekse krav fra DORA og NIS2 til konkrete forretningsprocesser. Identificer hvilke forretningsområder der kan blive påvirket, hvis der ikke tages hånd om disse krav, og hvordan det kan ramme kunderne.

Brug scenarier frem for lange kontrolskemaer for at illustrere potentielle risici. For eksempel kan I beskrive, hvad der sker, hvis en kritisk service svigter, og hvilke konsekvenser det har for både virksomhedens omdømme og økonomi. Dette vil hjælpe ledelsen med at se, at det ikke kun er et spørgsmål om IT-sikkerhed, men et spørgsmål om virksomhedens overlevelse og succes.

Det er også afgørende at inddrage ledelsen i beslutningsprocessen omkring risikotolerance og kritiske services. Bed dem om at godkende en plan for, hvordan I vil håndtere disse risici, og hvordan I vil øve jer i at reagere på sikkerhedshændelser. Dette skaber ejerskab og ansvarlighed hos ledelsen, hvilket er essentielt for at sikre, at DORA og NIS2 bliver prioriteret.

Endelig skal I kommunikere klart om rapporteringsfrister og de beslutninger, der skal træffes af ledelsen. Gør det tydeligt, at disse krav kræver deres opmærksomhed og handling, og at der vil være konsekvenser, hvis de ikke bliver adresseret. Ved at gøre DORA og NIS2 til en del af ledelsens daglige overvejelser kan I sikre, at de ser det som en integreret del af virksomhedens strategi.

Kilder: Finanstilsynet - Tilsyn med IKT og datasikkerhed ↗ · DIGST - FAQ om NIS2 ↗ · Deloitte - Mastering DORA ↗