Så ser styrelsens ansvar ut enligt lagen

Varför det här spelar roll

Vad behöver du göra

• Skilj på vad lagen kräver av bolaget och vad den kräver av er personligen.
• Se till att utbildningen är genomförd. Den är er enda egna skyldighet i lagen.
• Lär känna ledningsförbudet och de fyra villkor som måste vara uppfyllda.
• Protokollför besluten, eftersom det är dem tillsynen kommer att läsa.

Så reder ni ut ansvaret

1. Skilj på bolagets skyldighet och er egen

   Det här missförstås ofta. Skyldigheten att vidta säkerhetsåtgärder ligger på verksamhetsutövaren, alltså bolaget eller myndigheten. Ledningens enda egna skyldighet i lagtexten är utbildningen i 2 kap. 4 §. Att bolaget handlar genom sin ledning är ändå skälet till att ansvaret inte går att delegera bort till it-funktionen.

2. Notera vad som inte blev lag

   NIS 2 säger att ledningsorganet ska godkänna och övervaka åtgärderna. Någon sådan särskild bestämmelse infördes inte i svensk rätt, eftersom regeringen ansåg att skyldigheten på verksamhetsutövaren räcker. Ni behöver alltså inte leta efter en paragraf om godkännande. Ni behöver kunna visa att styrningen faktiskt skett.

3. Genomför utbildningen

   Utbildningen är inte en rekommendation. Den ska ge grundläggande kunskap om ledningens roll, terminologin, riskhanteringen och uppföljningen. Hur ni gör den står i guiden om ledningens utbildning.

4. Vet vem sanktionsavgiften träffar

   Avgiften riktas mot verksamhetsutövaren, inte mot er privat. Taken är höga. För en väsentlig enskild verksamhetsutövare det högsta av två procent av den globala årsomsättningen eller tio miljoner euro, för en viktig 1,4 procent eller sju miljoner euro, och för en offentlig verksamhetsutövare tio miljoner kronor.

5. Lär känna ledningsförbudet

   Det här är den personliga konsekvensen. En befattningshavare kan förbjudas att inneha ledningsfunktion, men fyra villkor måste vara uppfyllda samtidigt. Verksamhetsutövaren ska vara väsentlig, ett tidigare föreläggande ska inte ha följts, överträdelsen ska vara allvarlig, och befattningshavaren ska ha orsakat den uppsåtligen eller av grov oaktsamhet.

6. Notera att en domstol beslutar

   Förbudet meddelas av förvaltningsdomstol och gäller mellan ett och tre år. Det är alltså ingen sanktion som en tillsynsmyndighet kan besluta över en eftermiddag. Tröskeln är hög och kedjan lång, vilket är värt att veta både för den som oroar sig i onödan och för den som tar lätt på ett föreläggande.

7. Protokollför det ni beslutar

   Kedjan i ledningsförbudet börjar med ett föreläggande som inte följts. Det gör protokollet till er viktigaste handling. Beslut om mål, inriktning och resurser, vem som fick uppdraget och när det ska återrapporteras. Det som inte går att visa i efterhand räknas i praktiken inte. Bakgrunden finns i kapitlet om cybersäkerhet som ledningsfråga.

Nästa steg

• Genomför ledningens utbildning före 1 oktober Tar 90 min
• Ställ rätt frågor om cybersäkerhet på nästa styrelsemöte Tar 45 min