Cybersikkerhed: SMVerne skal være særligt opmærksomme på NIS2-krav

Med den nye NIS2-aftale, skrues der hårdt op for, hvor mange danske virksomheder, der er omfattet af de nye, skærpede krav. Særligt SMVerne skal indstille sig på en ny virkelighed, og det kan blive svært for mange.

Danske SMVers cybersikkerhed har været genstand for megen snak og megen bekymring gennem det seneste år, hvor der særligt som følge af krigen i Ukraine i har været øget aktivitet fra cyberkriminelle.

Hver anden dansk virksomhed har været udsat for en eller anden form for cyberangreb inden for det seneste regnskabsår. Det viser PwC’s Cybercrime Survey, hvor over 500 danske erhvervsledere og it-folk har deltaget.

Mange danske SMVer er I forvejen dårligt beskyttede mod cyberangreb, I følge en analyse fra 2022 fra Erhvervsministeriet er 40 % af SMV’erne i Danmark utilstrækkeligt beskyttet mod cyberangreb. Med de nye NIS2-krav, skal de nu leve op til endnu skrappere krav.

“Vores kortlægning viser, at NIS2 vil ramme rigtig bredt, og at direktivet har direkte kurs mod over 1000 danske virksomheder. Det er rigtig mange, der nu skal forberede sig på markant skærpede krav til it-sikkerheden,” siger Malene Stidsen, der er programchef for Industriens Fonds Cyberprogram.

Ifølge Industriens Fonds Cyberprogram vil hele 36 % af de omfattede virksomheder lever ikke op til de størrelsesrelaterede minimumskrav i direktivet, men er alligevel omfattet qua deres kritiske rolle for offentligheden eller folkesundheden.

Mange udfordringer

Netop det faktum, at truslen om cyberangreb for mange virksomheder er en latent trussel, gør, at de ikke tager de nødvendige forholdsregler for at sikre sig mod det angreb, der potentielt venter dem rundt om hjørnet.

Eksempelvis har en fjerdedel af virksomheder i bygge- og anlægsvirksomhederne, ifølge tal fra Danmarks Statistisk, ikke den nødvendige viden på området, og 20 % af virksomhederne i byggeri og industri har endnu ikke adgangskontrol på deres egne interne netværk.

Den kortlægning, som Industriens Fonds Cyberprogram har foretaget, der er valideret af en bred følgegruppe bestående af centrale myndigheder og brancheorganisationer, viser, at NIS2 vil ramme bredt i dansk erhvervsliv, når det er fuldt implementeret i slutningen af 2024. Det er især virksomheder inden for digital infrastruktur, energi og fremstillingsindustrien, der bliver omfattet. Tilsammen repræsenterer disse tre sektorer over halvdelen af de virksomheder, der står til at blive omfattet.

“Som det ligger nu, betyder det, at mange mindre virksomheder – og principielt også deres underleverandører – skal til at se sig selv som samfundskritiske og dermed indstille drift og udvikling herefter. Derfor er det også vigtigt, at de danske myndigheder meget snart lægger sig fast på, hvordan direktivet skal implementeres i Danmark,” siger Malene Stidsen.

For at gøre ondt værre, er der i øjeblikket udbredt mangel på it-specialister i Danmark, hvilket gør mange virksomheder yderligere sårbare. Tal fra it-sikkerhedsvirksomheden, Fortinet, viste i efteråret 2022, at op mod 80 % af de it-sikkerhedsbrister, der opstår i virksomheder, skyldes mangel på it-sikkerhedseksperter.

Hos Industriens Fonds Cyberprogram er man nu gået i gang at give overblik over de berørte virksomheders styrker og svagheder ift. at leve op til kravene i NIS2.

“Ved at sætte fokus på dette vil vi bistå danske virksomheder med at komme på forkant med udviklingen – og dermed høste de konkurrencefordele, der ligger i at leve op til de digitale sikkerhedskrav fra myndighederne – men også voksende krav fra kunder og samarbejdspartnere,” siger Malene Stidsen.