Cybersäkerhetslagen svettigare än GDPR för dig som verksamhetsledare

För att kunna leva upp till kraven – och undvika dryga sanktionsavgifter (och för bolag även risk för tillfälligt näringsförbud) – behöver du snarast samla ihop verksamhetens ledare för att få klarhet i frågan: ”Hur kan vi hjälpas åt för att uppfylla alla de här kraven?”, konstaterar Olof Eilertsson, it-rättsjurist och säkerhetsarkitekt på Atea, i den här spaningen.

Spaningen i ett nötskal

Det blir en svettig vår, sommar och höst för många verksamhetsledare i Sverige. GDPR var en uppvärmning inför det sprintlopp som nu väntar.  Enligt förslaget till den nya cybersäkerhetslagen läggs enormt mycket ansvar på verksamhetsledare från den 1 februari 2025. I offentlig verksamhet är det bara kommun- och regionfullfullmäktige som fritas ansvar, enligt utredningen. Det innebär att alltifrån kommunstyrelser, nämnder och förvaltningschefer snarast behöver sätta cybersäkerhetsfrågan i centrum.

Du förväntas ha kunskap att förstå och bedöma cybersäkerhetsrisker och hur de påverkar verksamheten. På ditt bord hamnar också att godkänna riskhanteringsåtgärder för cybersäkerhet, och se till att de både implementeras på rätt sätt och att en fungerande incidentrapporteringsrutin finns på plats. Du ska även se till att verksamheten kan fortsätta driften om it-systemen fallerar. Allt är så kallade "skall-krav", och de är fler än vad som får plats här. Du förväntas förstå, fatta besluten och ta ansvar, inte bara skicka vidare ansvaret till it-avdelningen. Ett strukturerat, riskbaserat cybersäkerhetsarbete med ett brett perspektiv som genomgår ett ständigt förbättringsarbete är en förutsättning för att lyckas.

Vad ni kommer att upptäcka

Det vi redan har sett när vi genomfört ledarworkshops i verksamheter inför den nya cybersäkerhetslagen är att den nya lagen – med alla dess utmaningar – blir en enande faktor. Plötsligt har vi ledare som kommer från olika håll och för en dynamisk dialog, och utvecklar en gemensam kunskapsinsiktsbas att diskutera utifrån, samtidigt som it-medvetenheten höjs. Detta är inte bara en förutsättning för att kunna uppfylla kraven och därmed slippa sanktionsuppgifter.

Ni kommer även att upptäcka att det finns många uppsidor med att ta allt det här ansvaret och se till att säkerhetsjobbet blir gjort. Att ta cybersäkerhetslagstiftningen på allvar gör att ni får en bättre kontroll på er information och på säkerheten i era system. Det gör även att ni lättare kan applicera AI-lösningar på ett säkert sätt framöver inom ramen för vad den kommande AI Act kräver. Annars får ni göra dubbelarbete. Verksamheter som är på offensiven med cybersäkerhetslagen vinner förtroende hos medborgare och kunder – medan de som ”väntar och ser” riskerar att hamna på efterkälken i regelefterlevnaden, bli offentligt kritiserade och få sitt förtroende skadat.