NIS2 Implementation Manager

En NIS2 implementation manager oversætter et EU-direktiv til konkrete opgaver i en virksomhed. Startpunktet er næsten altid en gap-analyse. Du holder virksomhedens nuværende sikkerhed op mod kravene i NIS2-direktivets artikel 21. Resultatet er en handlingsplan med ejere, deadlines og budget.

Artikel 21 i EU's NIS2-direktiv opstiller ti minimumsforanstaltninger. De dækker blandt andet risikoanalyse, hændelseshåndtering, backup, forsyningskædesikkerhed, kryptering og multifaktor-godkendelse. De ti punkter styrer det meste af arbejdsåret.

Typiske opgaver

• Kortlægge hvilke systemer, data og processer der er kritiske for driften
• Skrive politikker for risikostyring, adgangsstyring, backup og logning — og få dem godkendt
• Bygge et hændelsesberedskab, der kan holde direktivets indberetningsfrister
• Køre beredskabsøvelser med ledelse, IT-drift og kommunikation
• Stille sikkerhedskrav til leverandører og få dem ind i kontrakterne
• Uddanne bestyrelse og direktion, som ifølge NIS2-direktivets artikel 20 har et personligt ansvar
• Samle dokumentation, så et tilsyn kan følge sporet bagfra

Indberetningsfristerne fylder meget. Ifølge NIS2-direktivets artikel 23 skal en væsentlig hændelse varsles inden 24 timer. En egentlig underretning skal følge inden 72 timer. En endelig rapport skal afleveres inden en måned. Det kræver vagtplaner, skabeloner og en klar eskaleringsvej.

En almindelig dag

Morgenen går ofte med et statusmøde med IT-drift om patching og sårbarheder. Formiddagen bruges på at skrive eller rette et policy-dokument. Efter frokost er der typisk workshop med indkøb om leverandørkrav. Sidst på dagen opdateres styregruppens statusark før næste møde.

Rollen er sjældent teknisk. Du konfigurerer ikke firewalls og skriver ikke detektionsregler. Du beder om dokumentation, sætter deadlines og følger op. En stor del af tiden går med at få travle kolleger til at levere til tiden. Den største modstand kommer ofte ikke fra IT, men fra forretningsenheder med egne systemer.

Stillingen findes især i energi, transport, sundhed, drikkevand, spildevand, affald, fødevareproduktion, digital infrastruktur, fremstilling og offentlig forvaltning. Store organisationer har typisk en fuldtidsrolle. Mindre enheder køber opgaven som konsulentydelse.

Hvilken lovgivning dækker denne rolle?

Rollen findes udelukkende på grund af EU's NIS2-direktiv fra 2022, som afløser det oprindelige NIS-direktiv. Direktivet er gennemført i dansk ret med lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, i daglig tale NIS2-loven. Styrelsen for Samfundssikkerhed fører tilsyn med hovedparten af sektorerne, mens Center for Cybersikkerhed står for national koordinering og hændelseshåndtering. Enkelte sektorer har egne tilsyn, blandt andet Energistyrelsen på energiområdet og Trafikstyrelsen på dele af transportområdet. Finansielle virksomheder er i stedet omfattet af EU's DORA-forordning. NIS2-direktivet skelner mellem væsentlige og vigtige enheder, og bødeniveauet er højest for de væsentlige — op til 10 mio. euro eller 2 procent af den globale omsætning. Selve rollen kræver ingen autorisation: ingen dansk lov stiller uddannelseskrav til den, der driver arbejdet.

Der findes ingen dansk uddannelse, der hedder NIS2 implementation manager. Ingen skole uddanner direkte til jobbet. Man kommer ind via erfaring plus kurser.

Den almindeligste vej

De fleste har 5-10 års erfaring bag sig, før de får rollen. Typiske baggrunde er datamatiker, cand.it., diplomingeniør, jura eller revision. Nogle kommer fra IT-drift og kender systemerne indefra. Andre kommer fra projektledelse og kender styregrupper og budgetter. Begge veje virker. Kombinationen af de to er den stærkeste.

Kurser og certificeringer

• ISO 27001 Lead Implementer: typisk 3-5 dages kursus med eksamen. Den mest direkte genvej.
• ISO 27001 Lead Auditor: nyttig, hvis du selv skal føre intern kontrol.
• CISM fra ISACA: ledelsesorienteret, kræver dokumenteret erfaring.
• CISSP fra ISC2: bred og teknisk tung, kræver fem års erfaring.
• CRISC fra ISACA: fokuseret på risikostyring.
• ISO 22301: beredskab og forretningskontinuitet, ofte overset.

Dansk Standard udbyder kurser i ISO 27001 og ISO 22301 på dansk. Teknologisk Institut, DTU og IT-Universitetet har efteruddannelse i informationssikkerhed. Center for Cybersikkerhed udgiver gratis vejledninger, som mange bruger som første indgang.

Alternative veje ind

• Fra GDPR: mange DPO'er og privacy-folk skifter over. Metoden er den samme, kravene er nye.
• Fra revision: erfaring med ISAE 3402-erklæringer og kontroltest overføres direkte.
• Fra IT-drift: du kender systemerne, men skal lære at skrive og facilitere.
• Fra projektledelse: PRINCE2 eller IPMA plus et ISO 27001-kursus rækker langt.
• Fra forsvar eller beredskab: erfaring med øvelser og eskalering er efterspurgt.

Adgangskrav

Der er ingen formelle adgangskrav. Ingen autorisation, ingen beskyttet titel. Til gengæld er sproglige krav høje. Du skal kunne skrive et beslutningsoplæg til en bestyrelse på én side.

Vær opmærksom på

Mange stillinger slås op som projektansættelser på 12-24 måneder. Når basiskravene er på plads, glider opgaven ofte over i en fast informationssikkerhedsfunktion. Karriereveje derfra er informationssikkerhedschef, CISO, Head of GRC, DPO eller GRC-konsulent i et rådgivningshus. Konsulentvejen giver bredde hurtigt, fordi du ser mange brancher på kort tid.

Værktøjerne falder i tre grupper: rammeværk, GRC-systemer og dokumentation.

Rammeværk og standarder

• ISO 27001 og ISO 27002 bruges som skelet for det meste af arbejdet
• ISO 27005 til risikovurdering
• ISO 22301 til beredskab og forretningskontinuitet
• NIST Cybersecurity Framework og CIS Controls som supplement
• D-mærket bruges af mindre danske virksomheder som et lettere første trin

GRC-platforme

Store organisationer bruger ServiceNow IRM, OneTrust eller RSA Archer. På det danske marked ses Wired Relations og ComplyCloud ofte, især i mellemstore virksomheder. Awareness-træning køres typisk i CyberPilot eller KnowBe4.

Vær ærlig omkring virkeligheden: rigtig mange NIS2-projekter kører på Excel, SharePoint og Confluence. Et regneark med kontroller, ejere og status er stadig det mest udbredte styringsværktøj.

Systemer du læser, men ikke drifter

• Sårbarhedsscanning: Tenable, Qualys eller Rapid7. Du bestiller rapporterne og følger op på dem.
• SIEM og logning: Microsoft Sentinel eller Splunk. Du bruger data til at dokumentere detektionsevne.
• CMDB og aktivstyring: ServiceNow eller Lansweeper. Grundlaget for at vide, hvad der skal beskyttes.

Leverandørstyring

Spørgeskemaer til leverandører, ISAE 3402- og ISAE 3000-erklæringer samt kontraktbilag med sikkerhedskrav. NIS2-direktivets krav om forsyningskædesikkerhed gør denne del større, end de fleste forventer.

Projektstyring og rapportering

Jira, Azure DevOps eller Monday til opgaver. Power BI eller et simpelt statusark til styregruppen. Ledelsen vil have én side med farver og deadlines — ikke et 60-siders dokument.