Gjør virksomheten klar for nye regler om cybersikkerhet og personvern

Canons undersøkelser viste at IT-ledere konsekvent har oppgitt informasjonssikkerheten som et av de tre mest utfordrende og tidkrevende ansvarsområdene de siste fem årene.

Informasjonssikkerheten (33 %) ble faktisk vurdert som den største utfordringen tett fulgt av etterlevelse av regelverk (25 %). Derfor er informasjonssikkerheten fortsatt av stort betydning, ettersom både de juridiske forpliktelsene og den teknologiske kompleksiteten fortsetter å øke.

Regelverket fortsetter å utvikle seg, og både EU og nasjonale myndigheter styrker kravene til cybersikkerhet og utvider omfanget av hvilke sektorer som omfattes. Dette innebærer at flere virksomheter nå forventes å kunne dokumentere effektiv risikostyring, håndtering av sikkerhetshendelser, kontroll med leverandørkjeden og planlegging for robusthet og motstandsdyktighet.

I 2026 skjer det et skifte i reguleringer bort fra forberedelser og mot praktisk gjennomføring. DORA-forordningen har gjeldt siden januar 2025 og krever at finansinstitusjoner styrker IKT-risikostyringen, tester robustheten sin og sørger for hendelsesrapportering og tilsyn med kritiske tredjepartsleverandører. Cybersikkerhetsforordningen trer også inn i en viktig driftsfase: Fra september 2026 må produsenter av produkter med digitale elementer melde fra om aktivt utnyttede sårbarheter og alvorlige sikkerhetshendelser, som en forberedelse på den utvidede anvendelsen forordningen får fra desember 2027. Disse milepælene betyr at overholdelse av regelverket må prioriteres på styrenivå i årene som kommer.

NIS2-direktivet er også en sentral del av dette skiftet. Det er laget for å styrke cyberrobustheten i hele EU/EØS og utvider forgjengerdirektivets virkefelt ved å innføre strengere forpliktelser til risikostyring og hendelsesrapportering, mer oversikt over gjeldende regelverk og større ansvarliggjøring av toppledelsen. Etter som medlemslandene fortsetter å gjennomføre og håndheve nasjonal lovgivning, må organisasjoner som opererer på tvers av landegrensene følge nøye med på lokale krav.

For å møte dagens utfordringer og tilpasse seg morgendagens informasjonssikkerhetslandskap, som er i stadig utvikling, er det avgjørende å samarbeide med en partner som har ekspertisen, tjenestene og løsningene som trengs for fremtidssikrede operasjoner. Bedriftene kan forberede seg på nye og fremtidige regelverk, unngå potensielt kostbare endringer når tidsfristen for gjennomføring nærmer seg og ta en mer proaktiv tilnærming til informasjonssikkerhet ved å vurdere følgende områder.

De må ha en klar forståelse av lovgivningen som gjelder for deres organisasjon, bransje og geografiske virkeområder. Dette bør omfatte å rådføre seg med eksperter på jus, samsvar og sikkerhet, slik at de kan få en forståelse ikke bare av de umiddelbare forpliktelsene sine, men også av den bredere innvirkningen på produkter, tjenester, leverandører og interne prosesser.

Det er også viktig å innføre en prosess for kontinuerlig overvåking av ny lovgivning og tidsfrister for gjennomføring og å innhente veiledning om regelverkene. Dette kan administreres gjennom et dedikert internt team eller settes ut til en ekspertleverandør, slik at organisasjonene kan forutse fremtidige behov og tilpasse seg i god tid før ting må være på plass.

For å navigere i det stadig skiftende juridiske landskapet kan det være at sikkerhetsteam må heve kompetansen sin, enten ved å ansette spesialister eller ved å lære opp eksisterende ansatte i sikkerhet, lovforståelse, risikostyring og gjennomføring av sikkerhetskontroller. Dette kan virke inn på virksomhetens ressurser, bemanning og budsjetter – avhengig av tilpasningsnivået som kreves.

IT-teamene må etablere tydelige prosesser for håndtering av sårbarheter, oppdateringer, hendelsesrespons, robusthetstesting og varsling om brudd på data- og opplysningssikkerheten. Disse prosessene må dokumenteres, testes og vurderes regelmessig for å være i samsvar med kravene i NIS2, DORA og cybersikkerhetsforordningen. Det kan også bli nødvendig for organisasjonen å investere i mer programvare, overvåkingskapasitet og administrerte tjenester som støtter disse prosessene over tid.

Leverandørene sitter kanskje utenfor organisasjonen deres, men sikkerhetssituasjonen deres, rapporteringsprosessene og evnen de har til etterlevelse kan fortsatt ha direkte innvirkning på risikoene dere eksponeres for. Det er viktig at dere samhandler med leverandørene, forstår sikkerhetsrutinene deres og foretar revisjoner eller evalueringer som bidrar til å sikre at de opptrer i samsvar med deres egne standarder for etterlevelse.

Ettersom visse sikkerhetshendelser kan ha en betydelig innvirkning på virksomheten, er det viktig at de ansatte informerer om risikoer de oppdager og at dere utvikler en kultur for åpen rapportering. Tydelige opptrappingsbaner, medarbeiderbevissthet og åpen rapportering hjelper organisasjoner til å lære av hendelser, oppfylle varslingsfrister og styrke kontrollen uten å skape en kultur hvor folk bare skylder på andre.

Nye og kommende regelverk er positivt for forbrukerne og sikkerhetsbransjen som helhet. Til syvende og sist vil det bidra til å skape et sikrere, mer robust og gjennomsiktig digitalt landskap for virksomhetene. Selv om det kan innebære visse investeringer og operativ innsats på kort sikt, vil de langsiktige fordelene ved å tilpasse seg og ha en proaktiv tilnærming til lover og regler langt oppveie utfordringene.