Ledelsen skal involveres i databeskyttelse og infosec. Læs hvad reglerne siger.

Men hvad siger reglerne egentlig helt præcis? Her kigger vi på de vigtige regelsæt ISO 27001, NIS2 og GDPR, og hvad de siger om ledelsens ansvar.

{{factbox-dark}}

ISO 27001

I ISO 27001 skal du have fat i paragraf 5, som handler om ledelsens rolle. 

Ledelsen har tre overordnede forpligtelser. Den skal:

1. Tage ansvar for informationssikkerheden og være aktivt involveret i at skabe rammerne for ISMS’et. Herunder også allokere de nødvendige ressourcer.
2. Sikre at der er en informationssikkerhedspolitik, som er kommunikeret og bliver fulgt op.
3. Sikre, at der er styr på og klare retningslinjer for rollefordelingen.

NIS2

NIS2-direktivet slår helt fast, at informationssikkerhed er ledelsens ansvar. 

Konkret har de - ifølge reglerne - 4 forpligtelser:

1. De skal godkende virksomhedens foranstaltninger til styring af cyberrisici,
2. De skal føre tilsyn med, at de bliver gennemført,
3. Følge kurser om cybersikkerhed og
4. Tilskynde til, at medarbejderne også tilbydes kurser.

Medlemmerne af ledelsesorganet kan faktisk gøres personligt ansvarlige, hvis de ikke lever op til reglerne.

Læs mere i direktivet.

I Danmark har Styrelsen for Samfundssikkerhed udarbejdet en vejledning om ledelsens rolle og ansvar.

Vi har gennemgået den i et webinar, hvor du får svar på:

• Hvem er det øverste ledelsesorgan – og hvorfor er det vigtigt at få identificeret?
• Hvad betyder det, at man kan uddelegere opgaver, men ikke ansvar?
• Hvordan kan man organisere arbejdet mellem bestyrelse, direktion og sikkerhedsfolk?
• Hvilke kompetencer skal være til stede – og hvad gør man, hvis de ikke er det?

{{factbox-light}}

GDPR

GDPR har ingen regler, der direkte peger på ledelsens ansvar. Der er imidlertid en lang række regler, som forpligter virksomheden eller den organisation, som skal leve op til GDPR. Ledelsen er selvsagt overordnet ansvarlig.