En havn kan have en sikringsplan, en vurdering af cyberrisici og en plan for modstandsdygtighed. Tre dokumenter om den samme kaj.
Havne kan være omfattet af tre regelsæt, der overlapper. Hvilke krav der gælder, afhænger af havnens aktiviteter.
Det første er havnesikring. Bekendtgørelsen om sikring af havnefaciliteter kræver øvelser i dele af sikringsplanen mindst hver tredje måned og i hele planen mindst en gang om året. Trafikstyrelsens vejledning fra oktober 2025 opfordrer til at inddrage cybersikkerhed i øvelserne, hvis det indgår i planen.
Det andet er NIS 2-loven. Trafikstyrelsen er her myndighed for havnenes driftsorganer og for dem, der driver anlæg og udstyr i havne. Loven handler om cybersikkerhed.
Det tredje er lov om kritiske enheders modstandsdygtighed. Også her er Trafikstyrelsen myndighed for havne. Loven gælder ikke forhold, der er omfattet af NIS 2-loven, og handler om alt det øvrige, der kan stoppe en samfundsvigtig tjeneste.
En havn, der identificeres som kritisk enhed, skal have lavet en risikovurdering ni måneder efter, at den er blevet orienteret. Fristen for at identificere de kritiske enheder var 17. juli 2026.
Risikovurderingen skal omfatte “alle relevante naturlige og menneskeskabte risici”. Den skal også vurdere, hvor meget havnen afhænger af andre sektorer, og hvor meget andre sektorer afhænger af havnen.
Tre regelsæt og en myndighed. Ansvaret kan alligevel ligge tre steder: sikringsplanen hos havnens sikringsansvarlige, cyberkravene hos IT og planen for modstandsdygtighed hos den, der får opgaven.
Hver plan kan være i orden for sig. Men en hændelse holder sig ikke inden for et regelsæt. Et cyberangreb på adgangskontrollen er både et sikringsproblem og et IT-problem. Et strømsvigt stopper både kranerne og netværket.
Ledelsens opgave er at sikre, at risiciene bliver vurderet samlet, også når ansvaret ligger i forskellige funktioner.
Ledelsens opgave er at sikre, at risiciene bliver vurderet samlet, også når ansvaret ligger i forskellige funktioner. Et NIS2-audit kan sikre, at jeres risikovurdering dækker alle tre regelsæt.
Så mit råd til dig, der leder eller sidder i bestyrelsen for en havn eller en virksomhed med drift i en havn:
1. Læg sikringsplanen, cyberrisikovurderingen og beredskabsplanen ved siden af hinanden. Find de hændelser, som kun en af dem dækker.
2. Skriv ud for hver væsentlig tjeneste, hvilke andre sektorer I afhænger af: strøm, tele, vej og jernbane. Det er netop de afhængigheder, risikovurderingen skal omfatte.
3. Lad den årlige havnesikringsøvelse tage udgangspunkt i et cyberangreb, så de tre planer afprøves på samme dag. Vejledningen nævner selv cyberangreb som eksempel på en større hændelse.
En uafhængig gennemgang kan afdække, hvilke af jeres systemer der stadig mangler en plan for den dag, de ikke er tilgængelige. Ring til Nielco IT på 70 13 63 23.
