Modstandsdygtighed og beredskab er ledelsesansvar. Bekendtgørelsen om modstandsdygtighed og beredskab stiller særlige krav til ledere eller medlemmer af en bestyrelse eller direktion i virksomheder og myndigheder, som er omfattet af bekendtgørelsen.
Spørgsmål 1: Hvordan er ledelsesbegrebet defineret i bekendtgørelsen?
Bekendtgørelsen om modstandsdygtighed stiller krav til ”ledelsesorganet” i virksomheder (§ 10).
Ledelsesorganet er defineret som ”henholdsvis det centrale ledelsesorgan, som defineret i selskabsloven, og ledelsen, som defineret i LEV-loven, afhængigt af virksomhedens selskabsform”.
Hvem, der udgør ”ledelsesorganet”, skal forstås i overensstemmelse med definitionerne af henholdsvis ”det centrale ledelsesorgan” i selskabslovens § 5, nr. 4, og ”ledelsen” i LEV-lovens § 4 a, nr. 2.
Ifølge selskabsloven er det centrale ledelsesorgan:
- Bestyrelsen i selskaber, der har en direktion og en bestyrelse.
- Direktionen i selskaber, der alene har en direktion.
- Direktionen i selskaber, der både har en direktion og et tilsynsråd.
”Ledelsen” er i LEV-loven medlemmer af en bestyrelse, direktion eller et tilsvarende ledelsesorgan.
Den relevante definition af ledelsesorganet afhænger af virksomhedens selskabsform. Selskabsloven finder alene anvendelse for aktie- og anpartsselskaber, mens LEV-loven gælder for erhvervsdrivende virksomheder, der ikke er omfattet af selskabsloven fx enkeltmandsvirksomheder, interessentskaber, kommanditselskaber, andelsselskaber og fonde eller foreninger med erhvervsmæssig aktivitet.
Det vil være op til den enkelte virksomhed at vurdere deres virksomhedskonstruktion hører under selskabsloven eller LEV-loven.
Spørgsmål 2: Hvilke krav er der til ledelsens styring af beredskabet?
Ledelsesorganet har ansvaret at fastlægge virksomhedens risikostyring og beredskab. Ansvaret skal ses i forlængelse af de opgaver, bestyrelsen har for risikostyring ifølge selskabslovens § 115, og kan sammenlignes med den opgave, bestyrelsen i øvrigt har i forhold til finansielle risici samt ikke-finansielle risici (fx operationel risiko, teknologisk risiko m.m.). Ledelsesorganets opgaver i forhold til risikostyring og beredskab er således ikke anderledes end andre risikostyringsområder, hvor ledelsen skal vurdere og føre kontrol med virksomheden eller organisationens risici.
Ledelsesorganet skal, jf. § 10, godkende:
Ledelsesorganet – fx for kapitalselskaber svarende til bestyrelsen – vil skulle forholde sig til, hvad der udgør et passende sikkerhedsniveau for virksomheden. Det betyder bl.a., at bestyrelsen på et overordnet og strategisk niveau skal træffe beslutning om, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig.
Bestyrelsen vil i denne sammenhæng tilsvarende skulle godkende det ovenstående materiale omhandlet af § 10 på et overordnet og strategisk niveau. Ansvaret skal ses som en del af de opgaver, som bestyrelsen har i forhold til risikostyring ifølge selskabslovens § 115, jf. beskrivelsen ovenfor. Bestyrelsen bør præsenteres for indholdet af det nævnte materiale på en måde, som gør, at bestyrelsen på et overordnet niveau får en god forståelse for materialets indhold, og bestyrelsen bør have et vidensniveau om området svarende hertil.
Det er dermed ikke forventningen at bestyrelsen skal præsenteres og godkende materialet i detaljer. Bestyrelsen vil i forhold til godkendelse af materialet på detaljeringsniveau kunne overlade dette til direktionen og den daglige ledelse af selskabet.
- Risiko- og sårbarhedsvurderinger efter § 18.
- Risikovurderinger i forbindelse med projekter, som skal sendes til Energistyrelsen efter § 28, stk. 1.
- Beredskabsplaner efter § 19.
Ledelsesorganet skal, jf § 11, stk. 5
- Mødes minimum fire gange årligt med de koordinerende beredskabsroller (beredskabskoordinatoren, cyberkoordinatoren og sikringskoordinatorerne) med henblik på at tage stilling til virksomhedens organisatoriske beredskab, fysiske sikring og cybersikkerhed. Der skal føres referat af møderne.
- Forholde sig til, hvad der udgør et passende sikkerhedsniveau for virksomhedens net- og informationssystemer og for virksomhedens fysiske sikring set i forhold til virksomhedens risikoeksponering og den samfundsmæssige betydning af de tjenester og services, som virksomheden leverer. Det betyder bl.a., at ledelsen på et overordnet og strategisk niveau skal træffe beslutning om, hvilke foranstaltninger virksomheden skal have, og hvornår beskyttelsen er tilstrækkelig.
Bemærk, at det her ikke nødvendigvis behøver at være den øverste ledelse, der deltager i beredskabsmøderne. Det må i disse tilfælde godt ’bare’ være medlemmer af direktionen. Dette har været praksis hidtil og vil blive præciseret ved førstkommende ændring af bekendtgørelsen.
Spørgsmål 3: Hvordan skal ledelsen følge op på beslutninger om virksomhedens risikostyring og beredskab?
Ledelsesorganet i virksomheden skal følge op på, at beslutninger, ledelsen har truffet på baggrund af risiko- og sårbarhedsvurderingerne, herunder de mitigerende foranstaltninger i forhold til cybersikkerhed og anlæggenes modstandsdygtighed i beredskabsplanerne, gennemføres.
Ledelsen skal derfor følge op på og føre kontrol med, at de sikkerhedstiltag, ledelsen har iværksat, realiseres og har den ønskede virkning. Opfølgningen kan ske på forskellige måder, fx gennem periodiske ledelsesrapporter, hvor ledelsesorganet får status på de strategiske målsætninger, handleplaner samt udvalgte nøgletal og kontrolmål for virksomhedens arbejde med fx cyber- og informationssikkerhed.
Ledelsesorganet kan også følge op på beslutningerne ved at etablere processer for intern eller ekstern revision af kravene til modstandsdygtighed og beredskab. I begge tilfælde skal resultaterne rapporteres til ledelsen.
Spørgsmål 4: Hvilke krav stiller bekendtgørelsen om modstandsdygtighed og beredskab til uddannelse og awareness til ledelsens og medarbejdere?
Det følger af § 24 i bekendtgørelsen om modstandsdygtighed og beredskab, at medlemmer af en virksomheds ledelsesorgan skal deltage i relevante kurser eller undervisning om organisatoriske beredskab, fysiske sikring og cybersikkerhed.
Der er ikke et specifikt form- og indholdskrav til kurserne, men undervisningskravet skal ses i lyset af den rolle og de opgaver, ledelsesorganet har inden for risikovurderingen og beredskabet i deres virksomhed efter bekendtgørelsens § 10.
Kurserne skal gøre ledelsen i stand til at vurdere risici og til at kunne træffe beslutninger om og følge op på cybersikkerhedsforanstaltninger og foranstaltninger til fysisk sikring. Det er ikke et krav, at alle eller et bestemt antal medlemmer af ledelsesorganet skal have gennemført et givent antal kurser, men ledelsesorganet skal som kollektiv have de fornødne kompetencer til at styre det organisatoriske beredskab, cybersikkerheden og den fysiske sikring i virksomheden.
Relevante kurser kan fx være
- generelle kurser om cyber- og informationssikkerhed,
- ledelseskurser
- workshops om styring af cyber- og informationssikkerhedsrisici,
- kurser og certificeringer i anerkendte europæiske og internationale sikkerhedsstandarder, eller
- egne internt tilrettelagte kurser og seminarer om cyber- og informationssikkerhed, som er målrettet ledelsen.
Yderligere krav til uddannelse og awareness
- Uddannelsesaktiviteterne skal kunne dokumenteres fx i form af kursusbevis eller bekræftelse på deltagelse i kursus.
- Virksomheder skal sikre, at personer, som udfører opgaver inden for virksomhedens organisatoriske beredskab, fysiske sikring og cybersikkerhed, opbygger og fastholder de nødvendige kompetencer, herunder modtager den fornødne instruktion, undervisning og træning, jf. § 25.
- Virksomheder skal årligt gennemføre awareness-tiltag for at fremme og fastholde kendskabet til relevante beredskabsplaner, trusler og sårbarheder i virksomheden, jf. § 26, stk. 1.
- Virksomheder skal årligt gennemføre awareness-tiltag for at fremme og fastholde virksomhedens evne til at genkende og håndtere relevante cybertrusler og sårbarheder, jf. § 26, stk. 2.