De skjerpede reglene innen cybersikkerhet endrer nå hele sikkerhetsbransjen. Nye EU-direktiver og nasjonale krav påvirker alt fra produsenter og leverandører til ledelsesnivåer og kunder. Det mente i alle fall de fire bransjerepresentantene som, under ledelse av moderator Markus Lahtinen, deltok i en paneldiskusjon om hvordan bransjen skal håndtere de skjerpede cybersikkerhetskravene.

EU-lover skaper ny spilleregler

Panelet beskrev et raskt voksende regelverkslandskap der både Cyber Resilience Act (CRA) og NIS2-direktivet stiller nye krav til både teknologi og organisasjon.

Tilkoblede produkter og programvare skal være cybersikre gjennom hele livssyklusen og oppfylle CRA-kravene for å kunne selges på markedet. Ansvaret for etterlevelse ligger hos produktleverandørene, det vil si produsenter, importører og distributører.

NIS2-direktivet handler om å sikre organisasjoner hvis virksomhet er knyttet til kritisk infrastruktur og andre samfunnsviktige funksjoner. Dette inkluderer blant annet krav til risikohåndtering og hendelsesrapportering innen 24 timer, samt krav til kontinuitet, overvåking og sikkerhetsopplæring. Ansvaret ligger hos sluttkunden.

– Det handler om direktiver som har blitt lov, og som formelt bekrefter det vi allerede burde gjøre, men som vi nå må vise at vi gjør på riktig måte, sa Christian Lund, CIO i Seriline Group. Han beskrev CRA som en slags produktmerking for cybersikkerhet:

– Det er en sertifisering som skal sikre produkter gjennom hele livssyklusen. Forskjellen er at det ikke lenger er frivillig, men et krav.

Stor omstilling

De nye lovene omfatter både programvare, maskinvare og hele leverandørkjeden.

– Dette er en langt større omstilling enn mange er klar over. Det holder ikke lenger å beskytte seg selv. Man må kunne bevise at hele kjeden er sikker, særlig for virksomheter innen kritisk infrastruktur, understreket Robert Jansson, salgsdirektør i Stid for Norden.

Tungt ansvar for bedriftsledere

En sentral endring gjelder ansvaret for bedriftsledelser og styrer, ifølge Anders Karlsson, PMM i Keenfinity.

– I dag hviler et ansvar på oss alle i bransjen, men først og fremst på dem som leder selskapene, kommenterte han.

Hvem vil ta lederansvar?

Moderator Markus Lahtinen løftet frem et interessant aspekt ved det tunge ansvaret som hviler på bedriftsledelser, sett i lys av sanksjonsmulighetene som kan anvendes ved manglende etterlevelse av NIS2- og CRA-kravene.

– Det er betydelige virkemidler som kan tas i bruk. Det kan til og med bli vanskelig å finne personer som vil ta lederansvar når de forstår omfanget, sa han.

Samarbeid er nøkkelen videre

Samtidig var paneldeltakerne i stor grad enige om at ansvaret også innebærer en mulighet til profesjonalisering, både for leverandører og kunder.

Flere talere understreket imidlertid behovet for økt samarbeid mellom store og små aktører.

– Den lille kan lett bli klemt, men sitter ofte på den innovasjonen den store trenger. Vi må hjelpe hverandre og skape arenaer der vi deler kunnskap og erfaringer, la Krister Tånneryd, COO og CIO i Addsecure, til.

Felles standarder

I paneldiskusjonen ble det også løftet frem behovet for å utvikle felles standarder for avtaler, tydelighet, sertifisering og informasjonsdeling.

– Det handler ikke om å vente på lovgivere, men om selv å vise at vi tar ansvar, mente Krister Tånneryd.

Sverige henger etter

Robert Jansson tok initiativ til å sette Sveriges håndtering av cybersikkerhetsspørsmål i både et europeisk og et nordisk perspektiv. Han mente at Sverige ligger etter flere europeiske land.

– I Sverige har vi villet gjøre alt selv. Vi bygger båter og biler, og det gjelder i noen grad også for sikkerhet. I Norge har man i stedet kjøpt inn ferdige løsninger og nådd høyere sikkerhet raskere, hevdet han.

Robert Jansson trakk også frem Frankrike som et tydelig forbilde.

– De stilte krav veldig tidlig til å sikre systemene. Det vi ser i EU nå, er egentlig en videreføring av dette.

Vugges inn i falsk trygghet

Panelet var enige om påstanden om at vi i Sverige i for stor grad preges av en kultur der enkelhet ofte går foran sikkerhet.

– Vi forutsetter at alt er tilkoblet og sikkert, men det er en falsk trygghet, kommenterte Anders Karlsson.

Panelet var imidlertid enige om at det også finnes lyspunkter – for eksempel at flere selskaper har begynt å innføre sikre digitale identiteter og mer strukturert hendelseshåndtering, noe som indikerer at utviklingen likevel går fremover.

Kostnader og ressursmangel bremser

Panelet understreket også at det må skje endringer i synet på sikkerhet, ikke minst blant dem som arbeider med anskaffelser og vurderer tilbud.

– Vi har en kultur der den billigste leverandøren vinner anbudene. Det er vanskelig å få dette til å gå opp når laveste pris og cybersikkerhet skal sameksistere, løftet Krister frem som en tydelig utfordring.

Bransjen pekte også på mangel på kompetanse som et økende hinder.

– Hvis man ikke allerede nå har begynt å gå gjennom systemene og prosessene sine, har man gjort en feil. Vi vil trenge mange flere utdannede spesialister de nærmeste årene, konstaterte Anders Karlsson.

Rødt kort – men økende optimisme

Moderator ba panelet symbolsk sette farge på bransjens beredskap: grønt, gult eller rødt kort.

– Det heller nok mot rødt, innrømmet Christian Lund.

– Men det er en læringsprosess. Vi ligger etter, men vi kommer til å ta det igjen, la han til.

Andre var noe mer positive.

– Rødt i dag. Men det vil bli gult og deretter grønt. Vi har mye å lære, men vi beveger oss i riktig retning, sa Robert Jansson, som etterlyste et kompetanseløft i konsulentleddet som arbeider med å spesifisere fysiske sikkerhetssystemer.

Noen lyspunkter som ellers ble fremhevet av panelet, var at bevisstheten rundt cybersikkerhet øker raskt, og at stadig flere sluttkunder stiller krav, samtidig som flere produsenter arbeider aktivt med sertifiseringer og samarbeid. At flere organisasjoner ser cybersikkerhet som en del av forretningsstrategien snarere enn et rent teknisk anliggende, er også en positiv faktor.

Positive effekter på sikt

Til tross for usikkerhet rundt ressurser, tidsplaner og den nasjonale implementeringen og anvendelsen av EU-regelverkene i svensk lovgivning, var panelet enige om at de på sikt vil heve det generelle sikkerhetsnivået.

– Vi vil se bedre beskyttelse, færre angrep og lavere sårbarhet om to eller tre år. Når selskapene innser hva det koster i sanksjonsgebyrer å ikke oppfylle kravene, da blir det alvor, oppsummerte Robert Jansson.

Moderatorens konklusjon

Moderator Markus Lahtinen oppsummerte diskusjonen med at bransjens modenhetsnivå fortsatt er ujevnt – men retningen er tydelig.

– Panelet har vist hvor raskt de nye regelverkene påvirker hele kjeden, fra produsent til sluttkunde. Det handler om ansvar, samarbeid og kompetanse, men også om en vilje til å vokse med oppgaven, konkluderte han.