Fra regulering og compliance i siloer. Til en samlet indsats forankret i ledelsen

Mængden af lovgivning fra Danmark og især EU vokser. Dermed vokser compliance-opgaven tilsvarende. GDPR, NIS2-loven, DORA og AI Act er nogle af de regulativer, organisationer skal forholde sig til, og mange skal efterleve. Det er ikke en nem opgave. For hvordan vurderer man, om organisationen er omfattet af lovgivningen og i hvilket omfang? Og hvordan omsætter man lovteksten til konkret virkelighed, samtidig med at virksomhedens kernedrift fortsat bliver prioriteret?

Compliance er en ledelsesopgave, og det er på direktions- og bestyrelsesniveau, at ansvaret for efterlevelse skal forankres. Det er også på øverste ledelsesniveau, man sørger for, at compliance-opgaverne er afstemt i forhold til resten af organisationen. Målet er, at compliance-arbejdet understøtter den sikkerhedsstrategi, der samler forretningsprocesser, teknologi, risici og ressourcer i én integreret sikkerhedsmodel.

I Vaern hjælper vi med at skabe sammenhæng mellem ledelsesniveauet, governance, compliance og den operationelle sikkerhed. Fra fortolkning og korrekt scoping af lovkrav til en koordineret implementering, hvor strategiske krav omsættes til konkret praksis. Det giver en mere smidig compliance-proces og et bedre grundlag for kontinuerlig efterlevelse.

Vores compliance-rådgivning bygger på høj faglighed og specialiserede kompetencer inden for sikkerhed og regulering. Opgaverne løses af erfarne konsulenter med relevante uddannelser og certificeringer, som kan omsætte komplekse krav til løsninger, der fungerer i praksis.

Selvom det ikke er intentionen, bliver efterlevelsen af ny regulering ofte håndteret som enkeltstående projekter. Der bliver nedsat arbejdsgrupper, som i hver deres spor opbygger siloer, hvor der arbejdes med særskilte dokumentationskrav og tekniske indsatser.

Silohåndteringen foregår, selvom der faktisk er mange fællesnævnere i compliance-arbejdet, der går på tværs af dansk og EU-baseret lovgivning, eksempelvis kravet om at arbejde systematisk med risikovurderinger. Selvom de enkelte regulativer har forskellige beskyttelsesinteresser og risikofokus, kan både metode, governance-struktur og dele af datagrundlaget ofte genbruges på tværs af compliance-arbejdet.

Derudover er fortolkning af en lovtekst samt korrekt scoping af den efterfølgende compliance-opgave en udbredt problemstilling. Nogle sikkerhedsleverandører forsøger at imødegå den ved at lancere sikkerhedsprodukter eller designe fastdefinerede compliance-forløb, der passer til alle. Det fører sjældent til succesfuld implementering eller kontinuerlig efterlevelse. Tværtimod bidrager det ofte til udbredt frustration og følelsen af “compliance fatigue”, fordi man skaber papirtigre uden værdi.

Regulativer bliver ofte blandet sammen med standarder og rammeværker for informationssikkerhed. Der er dog en væsentlig forskel. Standarder og rammeværker som ISO 27001, NIST CSF og CIS18 er noget, man kan vælge at arbejde ud fra. Reguleringer som NIS2, DORA og GDPR er derimod lovgivning, man skal efterleve, hvis organisationen er omfattet. Hvilke regelsæt der gælder, afhænger af sektor og enhedstype, og sektorspecifik lovgivning kan have forrang. Eksempelvis er finansielle enheder primært reguleret af DORA og finansiel sektorlovgivning frem for NIS2.

I det daglige arbejde kan arbejdet med standarder, rammeværker og regulering dog godt hænge tæt sammen. Mange organisationer bruger standarder og rammeværker som den struktur, der hjælper med at operationalisere regulatoriske krav. Det gælder blandt andet inden for risikovurderinger, etablering af en governance-struktur og implementering af adgangsstyring, hvor de samme sikkerhedsdiscipliner ofte går igen på tværs af regulering.

Derfor handler compliance-arbejdet sjældent om at opbygge helt ny sikkerhed fra bunden, men i højere grad om at skabe en samlet styringsmodel, hvor eksisterende sikkerhedsindsatser kan dokumenteres, tilpasses og genbruges på tværs af forskellige regulatoriske krav.