Konstruktør: Morten Larsen

Cyberrisiko er blitt et styreansvar

Totalberedskap diskuteres ofte som et statlig ansvar. Nye planer, krav og strukturer skal gjøre Norge bedre rustet til å møte kriser, krig og sammensatte trusler.

Det er nødvendig.

Men en viktig del av beredskapen bygges et helt annet sted: i virksomhetene som holder samfunnet i gang, og gjennom beslutningene som tas i styrerommene.

Denne våren avsluttet jeg en master i sikkerhetsledelse. Samtidig har jeg 35 år fra privat næringsliv bak meg, med ansvar for drift, mennesker, risiko og beslutninger. Det har gitt meg et ganske tydelig perspektiv på beredskap:

Planer har liten verdi dersom organisasjonen ikke er i stand til å handle når virkeligheten avviker fra planen.

For en tid tilbake hørte jeg en erfaren tidligere diplomat beskrive verden slik den nå fremstår. Ikke bare som kompleks, men som grunnleggende uforutsigbar. Det gamle kartet stemmer ikke lenger helt med terrenget.

Det traff meg.

Vi lever i en tid der trusselbildet endrer seg raskt. Krig i Europa, geopolitisk uro, sammensatte trusler og økende digital avhengighet har gjort sikkerhet og beredskap til langt mer enn politiske temaer.

I et slikt landskap er det naturlig å rette blikket mot staten. Vi forventer nye planer, tydelige krav og strukturer som fungerer når samfunnet blir satt under press. Det er både forståelig og nødvendig.

Men totalberedskap kan ikke bygges bare ovenfra.

Nasjonal robusthet avgjøres også av hva som skjer i virksomhetene som leverer varer, transport, teknologi, mat, energi, helse- og omsorgstjenester og en lang rekke andre funksjoner samfunnet er avhengig av.

Mange av disse virksomhetene er private. Flere vil ikke nødvendigvis definere seg selv som en del av Norges beredskap. Likevel kan bortfall av deres tjenester raskt få konsekvenser langt utenfor egen organisasjon.

I praksis betyr det at en viktig del av totalberedskapen begynner i styrerommet.

Robusthet er mer enn regulering

Det er lett å tenke at mer regulering automatisk gir bedre sikkerhet. Noen ganger gjør det det. Tydelige minimumskrav kan løfte virksomheter som ellers ville prioritert sikkerhet for lavt, og regulering kan plassere ansvar der det hører hjemme.

Men regler alene skaper ikke robusthet.

Robusthet bygges gjennom forståelse, kompetanse og gjennomføring. Den bygges av virksomheter som kjenner sine avhengigheter, vet hva de ikke kan klare seg uten, og har øvd på hvordan de skal håndtere alvorlige hendelser.

Den bygges også av ledere som er i stand til å ta beslutninger før alle svar foreligger.

Digital sikkerhet i små og mellomstore virksomheter viser hvorfor dette er viktig. Store selskaper har ofte egne sikkerhetsmiljøer, og deler av kritisk infrastruktur er underlagt omfattende regulering. I SMB-sektoren er bildet mer sammensatt.

Mange virksomheter har begrensede ressurser og mangler egen kompetanse på cybersikkerhet. Beredskapsplaner blir ikke alltid testet, og avhengigheten av leverandører, skytjenester og digitale systemer kan være større enn styret er klar over.

Samtidig inngår disse virksomhetene i verdikjeder som i praksis kan være samfunnskritiske. En liten leverandør kan sitte på en funksjon, tilgang eller kompetanse som en langt større virksomhet er helt avhengig av.

Sårbarheten følger derfor ikke nødvendigvis størrelsen på selskapet.

Spørsmålet er heller ikke bare om vi har nok regler. Spørsmålet er om virksomhetene har forstått sin egen rolle, sine avhengigheter og konsekvensene dersom driften stanser.

Et styringsproblem – ikke bare et teknologiproblem

I arbeidet med masteroppgaven min undersøkte jeg hvordan styrer i små og mellomstore virksomheter håndterer digital risiko. Et gjennomgående funn var et tydelig gap mellom styrenes formelle ansvar og deres faktiske forutsetninger for å diskutere risikoen.

Paradokset er enkelt: Styret har det overordnede ansvaret for forvaltningen og kontrollen av virksomheten. Det omfatter også risiko som kan true drift, økonomi og selskapets evne til å oppfylle sine forpliktelser.

Likevel mangler mange styrer et felles språk og praktiske verktøy for å behandle digital risiko på en god måte.

Når temaet presenteres gjennom tekniske rapporter, systemnavn og detaljerte oversikter over sårbarheter, blir diskusjonen fort overlatt til IT-funksjonen. Styret mottar rapporten, men får ikke nødvendigvis det beslutningsgrunnlaget det trenger.

Cyberangrep rammer imidlertid ikke bare teknologien. De kan stanse produksjon, hindre leveranser, bryte kontrakter, eksponere personopplysninger og skade omdømmet og tilliten virksomheten er avhengig av.

Det som begynner som en teknisk hendelse, kan i løpet av få timer utvikle seg til en operativ, økonomisk og strategisk krise.

Derfor er digital risiko et spørsmål om virksomhetsstyring.

Det største sikkerhetsgapet ligger ikke nødvendigvis i teknologien. Det kan like gjerne ligge i avstanden mellom dem som forstår teknologien, og dem som har myndighet til å prioritere, finansiere og beslutte.

Styret skal ikke drive IT-avdelingen

Styrets oppgave er ikke å bli teknologieksperter. Styremedlemmene skal heller ikke overta det operative ansvaret fra administrasjonen eller IT-leverandøren.

Oppgaven er å sørge for at risikoen blir forståelig, diskutert og håndtert på riktig nivå.

Da må styret blant annet forstå hvilke tjenester virksomheten ikke kan fungere uten, hvor lenge driften kan være nede, hvilke leverandører selskapet er avhengig av, og hvilke konsekvenser et bortfall kan få.

Styret bør kunne stille noen grunnleggende spørsmål:

Hva er det viktigste vi må beskytte? Hva kan stoppe virksomheten? Hvor lenge kan vi være ute av drift? Hvem er vi avhengige av? Har vi faktisk testet beredskapen? Hvem har myndighet til å beslutte når hendelsen inntreffer? Hvor stor risiko er vi villige til å akseptere?

Dette er ikke først og fremst tekniske spørsmål. Det er spørsmål om drift, økonomi, ansvar og prioritering.

Erfaringen fra arbeidet mitt er at digital risiko må oversettes fra teknisk språk til forretningsspråk. Scenarier, risikomatriser og tydelige styringsbilder kan gjøre risikoen forståelig og håndterbar på styrenivå – på samme måte som økonomisk, juridisk og operasjonell risiko.

Når risikoen løftes dit beslutningene tas, skjer det noe. Ansvaret blir tydeligere. Spørsmålene blir bedre. Prioriteringene blir mer konkrete.

Sikkerhet går fra å være et IT-prosjekt til å bli en del av virksomhetsstyringen.

Beredskap må øves

En beredskapsplan som aldri er testet, er først og fremst en antakelse.

Det er under øvelser virksomheten oppdager om kontaktlistene er oppdaterte, om ansvarsfordelingen er forstått, og om beslutningene faktisk kan tas når de vanlige kommunikasjonskanalene ikke fungerer.

Først da ser man også om organisasjonen kjenner forskjellen mellom hvem som skal informeres, hvem som skal gi råd, og hvem som har myndighet til å beslutte.

Dette trenger ikke alltid være store og kostbare øvelser. Et styre kan komme langt ved å bruke en time på et realistisk scenario:

Virksomhetens sentrale systemer er utilgjengelige. Leverandøren kan ikke si når de er tilbake. Kundene begynner å ringe. Ansatte får ikke tilgang til nødvendig informasjon, og noen hevder at data fra virksomheten er på avveie.

Hva gjør vi den første timen? Hvem leder? Hvilke tjenester prioriterer vi? Når informerer vi ansatte, kunder, myndigheter og offentligheten? Og på hvilket tidspunkt er dette ikke lenger en IT-hendelse, men en virksomhetskrise?

Hvis svarene ikke er tydelige rundt bordet, er det nettopp derfor øvelsen er nødvendig.

Samspill – ikke bare kontroll

Når verden blir mer uforutsigbar, øker ønsket om kontroll. Det er naturlig. Men vi må være varsomme med å svare på kompleksitet med stadig flere lag av krav uten samtidig å styrke virksomhetenes evne til å forstå og håndtere risiko selv.

En organisasjon som drukner i rapportering, bygger ikke nødvendigvis bedre beredskap.

Rapportering har verdi når den gir bedre beslutninger. Mister den forbindelsen til handling, kan den skape en farlig følelse av kontroll: Dokumentene er på plass, avvikene er registrert og presentasjonen er vist. Likevel vet ingen helt hva de skal gjøre når hendelsen inntreffer.

Totalberedskap forutsetter derfor et reelt samspill mellom staten og næringslivet. Staten må sette retning, definere nødvendige krav og sørge for at kritiske avhengigheter blir forstått. Virksomhetene må på sin side ta eierskap til egen risiko og robusthet.

Det offentlige kan ikke kjenne alle avhengighetene i hver enkelt verdikjede. Næringslivet kan heller ikke alene håndtere trusler som går på tvers av virksomheter, sektorer og landegrenser.

Begge er avhengige av hverandre.

Ansvaret finnes allerede

Digital risiko er ikke et fremtidig styreansvar. Den er allerede en del av styrets overordnede ansvar for forsvarlig organisering, kontroll og forvaltning av virksomheten.

Utfordringen er at ansvaret ikke alltid blir omsatt til praktisk styring.

Det avgjørende spørsmålet er derfor ikke om styret skal overta ansvaret for teknologien. Spørsmålet er om styret har tilstrekkelig innsikt til å forstå hva teknologien betyr for virksomhetens drift, verdier og forpliktelser.

Kan styret forklare hvilke digitale hendelser som kan stoppe virksomheten? Vet det hvor selskapets viktigste avhengigheter ligger? Har det tatt stilling til akseptabel risiko? Og har virksomheten øvd på hvordan den skal håndtere en alvorlig hendelse?

Dersom svaret er nei, hjelper det lite at ansvaret formelt står et sted i styringssystemet.

Totalberedskap kan ikke vedtas frem alene. Den må bygges hver dag i virksomhetene som holder samfunnet i gang.

Og i mange tilfeller begynner den nettopp i styrerommet.

Derfor mener jeg tiden er inne for et tydeligere spørsmål:

Bør det stilles klarere krav til hvordan styrer behandler, dokumenterer og følger opp digital risiko – før hendelsen inntreffer?

Kilder og videre lesning Justis- og beredskapsdepartementet: Totalberedskapsmeldingen – Forberedt på kriser og krig, Meld. St. 9 (2024–2025) Totalberedskapskommisjonen: NOU 2023:17 – Nå er det alvor Nasjonal sikkerhetsmyndighet: Grunnprinsipper for IKT-sikkerhet Nasjonal sikkerhetsmyndighet: Risiko – nasjonalt digitalt risikobilde Direktoratet for samfunnssikkerhet og beredskap: Veiledning om risikoanalyse, kontinuitet og beredskapsplanlegging Lovdata: Aksjeloven § 6-12 – Forvaltningen av selskapet Lovdata: Aksjeloven § 6-13 – Styrets tilsynsansvar