Hvem har ansvaret i virksomheden?

Ifølge NIS2 ligger ansvaret for cybersikkerhed hos den øverste ledelse i virksomheden og altså ikke kun hos IT-afdelingen. Ifølge artikel 20 (§ 7) skal ledelsen godkende virksomhedens tiltag til styring af cybersikkerhedsrisici, føre tilsyn med at de gennemføres, og kan holdes ansvarlig ved overtrædelser. Ledelsen skal desuden selv tage kurser i cybersikkerhed og sikre løbende træning af medarbejderne.

Det kræver, at ledelsen har indsigt nok til at vurdere risici og prioritere de rette investeringer. Desuden møder sikkerhedstiltag ofte modstand blandt medarbejderne, og derfor er opbakning fra topledelsen afgørende for, at de bliver fulgt.