Utanför lagen – men indirekt berörd: Så påverkas advokatbyrån Vinge av NIS2

Rådger klienter om NIS2

Lisa Bourghardt är en erfaren jurist specialiserad inom immaterialrätt. De senaste åren har hon fördjupat sig i de nya EU-reglerna kring cybersäkerhet och rådgett kring tillämpningen.

– Som jurist hjälper jag mina klienter att analysera om och på vilket sätt kraven omfattar dem. Sedan går vi igenom vad det innebär i praktiken.

Rådgivarrollen påverkar också den egna verksamheten – inte minst genom kravet på att vara uppdaterad och påläst.

På vilket sätt påverkar Cybersäkerhetslagen/NIS2 er och era kunders verksamhet?

– Först och främst tydliggör NIS2 att ledningen har ett ansvar för att säkerhetsarbetet blir genomfört på ett strukturerat sätt. Lagen innehåller också en juridisk påtryckning, inte minst genom de höga sanktionsavgifterna som kan bli aktuella för dem som inte efterlever kraven.

– I förhållande till det säkerhetsarbete vi redan bedriver innebär NIS2 inga revolutionerande nyheter. Men det tillkommer vissa kompletterande krav, exempelvis kring dokumentation och incidentrapportering.

– För många av våra klienter är den största utmaningen att avgöra om regelverket omfattar dem. Sedan handlar det om att översätta de juridiska kraven till praktiskt fungerande arbetssätt, att etablera tydlig styrning och säkerställa ledningens engagemang och ägarskap.

Hur har ni förberett organisationen för NIS2?

– Säkerhetsarbetet har länge varit högt prioriterat på Vinge, med kontinuerliga riskbedömningar och uppföljande åtgärder. En förändring som regelverket drivit på är en ökad och mer systematisk dokumentation. Exempelvis dokumenterar vi i dag genomlysningar av befintliga och potentiella leverantörer på ett mer strukturerat sätt.

– En annan central del är att löpande adressera ”den mänskliga faktorn”. Vår bedömning är att användarbeteenden utgör en av de största riskerna. Därför satsar vi på kompetenshöjning inom informations- och cybersäkerhet för samtliga medarbetare. Bland annat genomför vi återkommande utbildningar och övningar som successivt ökar i svårighetsgrad.

Vad har varit mest utmanande hittills?

– Cybersäkerhetsområdet utvecklas snabbt och hotbilden ökar, vilket gör att vi behöver uppdatera våra riskbedömningar oftare. Den höga förändringstakten är en utmaning i sig, både för oss och för våra klienter.

– En ytterligare utmaning är att få kontroll över leveranskedjan och kunna ställa rimliga, men samtidigt tydliga och skarpa, säkerhetskrav på leverantörerna.

Hur har NIS2 påverkat era krav på leverantörer och it-partners?

– Eftersom vi som advokatbyrå hanterar mycket känslig information har vi högt ställda säkerhetskrav i leverantörsledet. Dessa krav är avgörande för vilka leverantörer och system vi väljer att arbeta med. Så var det redan innan NIS2, skillnaden nu är att vi i ännu högre grad behöver dokumentera våra utvärderingar och analyser.

Vad tycker du om Cybersäkerhetslagen/NIS2 generellt – blir vi säkrare eller är det mest en regelbörda?

– Det innebär utan tvekan en ökad regelbörda. Men om cybersäkerhetsarbetet blir mer systematiskt och kan genomföras i praktiken är det i grunden positivt. Både för enskilda organisationer och för samhällets samlade säkerhet.

Har du några bra råd att dela med dig av till it-ledare som ska arbeta med NIS2/Cybersäkerhetslagen?

– Börja med styrning och ansvar snarare än teknik. NIS2 är i grunden ett lednings- och verksamhetsprojekt, inte ett renodlat it-projekt. Det är därför avgörande att tidigt säkerställa ledningens engagemang.

– Ett annat tips är att lägga stor vikt vid ”den mänskliga faktorn”, utbildning och övning. Teknik är nödvändigt, men verklig effekt går först att uppnå när säkerhetsarbetet är integrerat i vardagen.