Mellom risikoregisteret og kriserommet

Registeret hadde rett, men organisasjonen var ikke klar.

Norske virksomheter har aldri arbeidet mer strukturert med risiko enn de gjør nå. Kravene til sikkerhet og beredskap øker og registrene oppdateres jevnlig. Likevel dukker de samme svakhetene opp når krisen oppstår. Hvis risikoene er kjent, hvorfor blir konsekvensene så ofte en overraskelse?

De fleste har identifisert scenarioer knyttet til for eksempel phishing, løsepengevirus, kompromittert applikasjon eller bortfall av kritiske systemer. Å kjenne risikoen er likevel bare et første steg, noe også et strammere europeisk regelverk nå understreker.

Svikter ett ledd i kjeden mellom risikokunnskap og hendelseshåndtering, svikter resten. Prioriterer ikke ledelsen risikoen, uteblir tiltakene. Øves det ikke på planen, vet du ikke om planen er god nok når det gjelder.

Gjennomføring er ikke én beslutning, men en serie av dem. På tvers av flere av oppdragene våre ser vi det samme mønsteret. Etterlevelse prioriteres foran operativ klarhet. Omfattende dokumentasjon tilfredsstiller revisor, men under en reell hendelse blir kompliserte planer og uklare roller et hinder. En plan utformet i isolasjon fra organisasjonens gjennomføringsevne har begrenset operativ verdi.

Det samme mønsteret går igjen i mange av oppdragene våre. Hendelseshåndtering på tvers av leverandørkjeder er ikke tilstrekkelig ivaretatt. Under en alvorlig hendelse må kunde, servicedesk, plattformleverandør og driftsleverandør handle koordinert. Går én leverandør utenom avtalte kommunikasjonskanaler, mister de andre kritisk informasjon når de behøver den mest.

Beredskap på tvers av leverandører krever en felles håndteringsmodell og jevnlige øvelser sammen.

Tre konkrete steg videre

1. Øv på mobilisering av kriseledelsen ved å kjøre et scenario der noen faktisk må ta ansvaret under tidspress.
2. Tren kommunikasjonen mellom leverandørene før krisen, ikke under den.
3. Sett en dato for neste øvelse samme dag planen er skrevet, ikke «når vi får tid».

DORA-regelverket for finanssektoren illustrerer skiftet, fra å identifisere risiko til å sikre operasjonell motstandskraft når hendelser inntreffer. Det samme tankesettet ligger til grunn for digitalsikkerhetsloven og NIS2-direktivet, som gjelder tilbydere av samfunnsviktige og digitale tjenester, også utenfor finanssektoren.

De fleste aktører har et risikoregister. Mange har et kriserom. Den virkelige testen er det som skjer mellom dem.

Et oppdatert risikoregister alene gir ingen beskyttelse. Bare det som faktisk blir gjennomført gjør det.