Den finansielle sektor i Danmark er blandt de sektorer, der er mest afhængige af en tværgående digitale infrastruktur. Når it-infrastrukturen svigter et sted, går der få minutter, før konsekvenserne kan mærkes både økonomisk og samfundsmæssigt. Derfor er cybersikkerhed rykket helt op på bestyrelsens dagsorden, fortæller Lone Flohr, partner i EY med ansvar inden for cyber- og it-sikkerhed i finanssektoren. 

”Hvis en finansiel virksomhed mister adgang til kritiske systemer, kan man mærke det i samfundet næsten øjeblikkeligt. Derfor er bestyrelserne langt mere opmærksomme på cyberområdet, end de var for bare få år siden” siger hun. Hun understreger, at sandsynligheden for at blive ramt af et cyberangreb eller en større IT-driftsforstyrrelse i dag er så høj, at virksomheder ikke længere kan nøjes med at fokusere på at beskytte systemerne. De skal kunne genetablere deres forretning hurtigt og effektivt, og det kræver et helt nyt niveau af beredskab og robusthed. Samtidig er afhængigheden af kritiske leverandører blevet så omfattende, at leverandørstyring i dag er et sikkerhedsspørgsmål og ikke kun et kontraktforhold.

Cybersikkerhed er ikke længere et it-problem, men et ledelsesansvar
De ændrede cybertrusler kombineret med nye cyber-lovgivningskrav har markant ændret bestyrelsens rolle. Den nye EU cyber-lovgivning, DORA, placerer ansvaret for virksomhedens samlede it-sikkerhed hos bestyrelsen og topledelsen, og konsekvenserne er store, hvis ikke bestyrelsen tager it-sikkerheden alvorlig. Ifølge Lone Flohr er det et tydeligt signal om, at cybersikkerhed ikke længere er en teknisk disciplin, men et strategisk og ledelsesmæssigt ansvar. Derfor er der kommet et ekstra fokus virksomhedernes DORA-compliance, samt øvelser og tests for at kunne dokumentere effektiv implementering. Når en krise rammer, er det topledelse og bestyrelse, der skal træffe de svære beslutninger, og hvis de ikke har prøvet det før, kan det skabe forsinkelser og fejl i håndteringen.