Dan Bjørnboe: ”NIS2 ændrer spillereglerne – men kontrakterne følger ikke med”

Artikel 4 i Dan Bjørnboe serie … det handler om: ”NIS2 ændrer spillereglerne – men kontrakterne følger ikke med”.

Artikelintroduktion: Jesper Seidler:

NIS2 ændrer kravene til sikkerhed, risikostyring og leverandøropfølgning. Men mange organisationer står med kontrakter, der er indgået i en anden tid og til et andet risikobillede.

I denne artikel sætter Dan Bjørneboe fokus på et dilemma, som mange allerede møder i praksis: Når nødvendige sikkerhedstiltag bliver til ændringsordrer og budgetdiskussioner, er spørgsmålet ikke længere blot, hvad organisationen bør gøre – men hvad den er villig til at betale for. Artiklen handler derfor ikke kun om NIS2. Den handler om sammenhængen mellem regulering, kontraktstyring og organisatorisk handleevne, når kravene til sikkerhed ændrer sig hurtigere end kontrakterne

Artikel 4: NIS2 ændrer spillereglerne – men kontrakterne følger ikke med

Artikel af Dan Bjørnboe

Lad mig stille et spørgsmål, som sjældent bliver stillet direkte. Har vi reelt taget stilling til, hvad det kræver at løfte sikkerheden?

NIS2 er ikke tvetydig. Hændelser skal kunne håndteres og rapporteres hurtigt. Leverandørkæder skal indgå i risikostyringen. Ledelsen får et tydeligere ansvar, og risikovurderinger skal ikke behandles som engangsøvelser.

Det er ikke principper til fri fortolkning. Det er forpligtelser med konsekvenser. Spørgsmålet er derfor ikke kun, om organisationerne ved, hvad der forventes af dem. Det er, om de har besluttet sig for at ville det. Og hvad de er parate til at betale for det.

Kontrakten er skrevet til et andet risikobillede

Mange kontrakter er indgået på et tidspunkt, hvor verden så anderledes ud. Kravene til informationssikkerhed, leverandørstyring og dokumenteret opfølgning var mindre krævende, og kontrakterne afspejler det. Det gør dem ikke dårlige. De er blot skrevet til en anden virkelighed. Klassiske ændringsbestemmelser er typisk tænkt til situationer, hvor kunden ønsker mere. Mere funktionalitet, flere brugere, nye integrationer med videre. Leverandøren vurderer konsekvensen og prissætter ændringen.

Det er en model, der fungerer fint, når ændringen er noget, kunden selv ønsker. Den fungerer dårligere, når ændringen er noget, organisationen er nødt til at have. For hvad er egentlig skærpet sikkerhedsrapportering? Er det en ny ydelse? En præcisering af eksisterende forpligtelser? En følge af ændret regulering? Eller simpelthen en forudsætning for, at kunden fortsat kan anvende systemet forsvarligt?

Kontrakten giver sjældent et enkelt svar. Og NIS2 venter ikke på, at svaret finder sig selv.

Når compliance bliver en ændringsordre

NIS2 gør leverandørkæden til en synlig del af organisationens sikkerhedsstyring. Det er ikke noget, man kan delegere og glemme. Det er ikke længere nok at have en kontrakt, med sikkerhedsbilag og en revisionserklæring i skuffen. Organisationen skal aktivt kunne vurdere, om leverandørforholdet fortsat understøtter den risikostyring, som ledelsen er ansvarlig for.

Det kræver ofte mere end den oprindelige kontrakt giver adgang til. Der kan være behov for hurtigere hændelsesrapportering, mere præcis viden om underleverandører, bedre dokumentation for kontroller og klarere procedurer ved sårbarheder. I en nyere kontrakt kan noget af det være tænkt ind fra starten. I en ældre vil det som regel kræve en ændring.

Og leverandøren kan svare helt legitimt. Det kan vi godt levere. Men det koster.

Når sikkerhed bliver et tilkøb

Det svar er kontraktretligt forståeligt. Men styringsmæssigt sætter det noget i bevægelse, som er svært at ignorere. For det handler ikke om ekstra funktionalitet. Det handler om at kunne efterleve krav, som organisationen i forvejen er bundet af.

Det er vigtigt at sige klart. Det er ikke en fortælling om leverandører, der spekulerer i sikkerhed. Leverandøren har leveret det, der blev bestilt. Hvis kunden nu vil have mere, er det rimelig kontraktlogik, at det prissættes. Men problemet er netop, at mange kontrakter ikke er skrevet til en virkelighed, hvor compliance-kravene bevæger sig i kontraktens levetid. De er skrevet til en leverance og ikke til et risikobillede i forandring.

Resultatet er, at nødvendige sikkerhedsløft ender som kommercielle ændringsordrer, selv om ingen hos kunden oplever dem som frivillige forbedringer.

Den lokale business case

Når sikkerhed i praksis bliver et tilkøb, ændrer beslutningen karakter på en ubehagelig måde. Det er ikke længere et spørgsmål om, hvad organisationen bør gøre. Det bliver et spørgsmål om, om netop denne risiko er stor nok til at begrunde netop denne udgift. Lige nu.

Den kalkule er menneskelig og forståelig. En myndighed kan ikke bruge penge uden at prioritere. Og hvis kontraktændringen koster noget konkret i dag, mens gevinsten består i at undgå en hændelse, der måske aldrig rammer, er det fristende at vente.

Ikke af ond vilje. Men fordi kontrakten og budgettet trækker beslutningen ned på et lokalt niveau, den ikke burde lande på alene.

Og her vender vi tilbage til åbningsspørgsmålet. Hvis organisationen ikke er parat til at finansiere de ændringer, den selv vurderer nødvendige for at efterleve NIS2, har den så gjort reguleringen operationel? Eller kun gjort den dokumenterbar?

Løser nye rammeaftaler problemet?

Det er nærliggende at betragte problemet som et overgangsproblem. Gamle kontrakter er indgået i en anden tid. Nye kan skrives bedre. Fælles rammeaftaler kan løfte bunden.

Det er ikke forkert. Hvis NIS2-relevante krav er del af konkurrencegrundlaget fra begyndelsen, ændrer det noget reelt. Sikkerhed bliver ikke et lokalt tilkøb bagefter, men en del af den ydelse, markedet konkurrerer om fra start.

Men det løser ikke det grundlæggende problem. Sikkerhedskrav er ikke statiske. Trusselsbilledet ændrer sig. Leverandørkæder ændrer sig. Forståelsen af, hvad der er tilstrækkelig styring, modnes løbende. Nye rammeaftaler kan flytte sikkerhed fra lokal tilkøbsydelse til fælles baseline. Men de gør ikke sikkerhed færdig.

Kontrakten som styringspunkt

NIS2 kræver ikke, at alle gamle kontrakter skrives om. Men det kræver, at de ikke behandles som afsluttede kapitler. Organisationen skal have overblik over, hvilke leverandørforhold der er kritiske, og hvilke krav der faktisk kan håndhæves i praksis. Og ikke kun på papiret.

Det kræver en samtale, som ofte ikke finder sted, mellem jura, indkøb, informationssikkerhed, drift og ledelse. Ikke kun om, hvad der står i kontrakten. Men om, hvad kontrakten skal kunne bære, når risikobilledet bevæger sig. Hvis enhver nødvendig tilpasning skal igennem en ændringsordre, en prisforhandling og en intern budgetkamp, er kontrakten blevet et filter for organisationens handleevne.

Det er den ujævnhed, NIS2 forsøger at adressere. Men det sker ikke af sig selv. Det kræver, at organisationerne faktisk tager stilling til, hvad sikkerhed må koste i praksis. Og holder den samtale, inden det er en hændelse, der tvinger den frem.

NÆSTE GANG ….