Bestyrelsen i et stort vand- eller spildevandsselskab skal selv godkende sikkerhedsforanstaltningerne. Ledelsens cyberkompetencer skal kunne dokumenteres.
Kravet står i NIS 2-loven, der trådte i kraft 1. juli 2025. Ifølge § 7 skal foranstaltningerne til styring af cybersikkerhedsrisici være godkendt af virksomhedens ledelsesorgan, og ledelsesorganet fører tilsyn med, at de bliver gennemført.
Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici.
Hvem er ledelsesorganet? Loven definerer det. For virksomheder under lov om visse erhvervsdrivende virksomheder er det bestyrelsen, når der både er en bestyrelse og en direktion. Ifølge Styrelsen for Samfundssikkerhed (SAMSIK) gælder den lov blandt andet andelsselskaber og foreninger med erhvervsmæssig aktivitet.
Hvilke forsyninger er omfattet? Miljøstyrelsen vurderer, at en vandforsyning som udgangspunkt er omfattet, hvis den har en debiteret vandmængde på 800.000 m³ eller mere om året i to på hinanden følgende år, eller hvis den leverer drikkevand til andre kritiske enheder, fx sygehuse. Alle kommunalt ejede spildevandsforsyninger skal registrere sig. Den endelige vurdering er konkret.
SAMSIK’s vejledning om ledelsens rolle gør tre ting klart. Bestyrelsen kan uddelegere opgaver til et udvalg, men hele bestyrelsen har fortsat ansvaret. Det er ikke et krav, at alle medlemmer har gennemført kurser. Og uddannelsen skal kunne dokumenteres, fx med kursusbevis.
Vejledningen skriver også, at ledelsen i særlige tilfælde kan gøres personligt ansvarlig.
Det betyder, at cybersikkerhed i et omfattet forsyningsselskab er et bestyrelsespunkt med dokumentationskrav. Det kan ikke afklares med en sætning om, at IT-leverandøren har styr på det.
Det betyder, at cybersikkerhed i et omfattet forsyningsselskab er et bestyrelsespunkt med dokumentationskrav. En cyber security advisor kan hjælpe bestyrelsen med at opfylde kravene og sikre, at kompetencerne er på plads.
Tre ting at gøre nu
1. Find referatet, hvor bestyrelsen godkendte jeres cybersikkerhedsforanstaltninger. Kan I ikke finde det, mangler I den dokumentation, § 7 lægger op til.
2. Saml kursusbeviser for de medlemmer, der har deltaget i kurser om cybersikkerhedsrisici, og notér, hvilke kompetencer bestyrelsen stadig mangler.
3. Beslut, om opgaverne skal ligge i et udvalg, og skriv i forretningsordenen, hvordan udvalget rapporterer til hele bestyrelsen.
Har du brug for en uafhængig gennemgang af jeres beredskab? Ring til Nielco IT på 70 13 63 23.
