CER-lovgivningen vil styrke erhvervslivet

CER-direktivets krav om at gøre de kritiske enheder i samfundet mere modstandsdygtige trækker tråde tilbage til den kolde krig. Dengang, hvor frygten for en altødelæggende atomkrig drev en lang række tiltag, så nationen fik oprettet kapaciteter til at imødegå et angreb på Danmark og civilbefolkningen. Der blev bygget beskyttelsesrum og uddannet soldater, så vi i tilfælde af krise kunne mobilisere et slagkraftigt forsvar, og øvelser var en naturlig del af at opretholde et fungerende og troværdigt beredskab. Det daværende Civilforsvar indgik i totalforsvaret med en velsmurt organisering, som kunne støtte selv i fredstid.

Det var dengang. Siden 1991 har vi nedrustet og hævet fredsdividenden, samtidig med at globaliseringen og den teknologiske udvikling har fundet vej ind i vores industri og dagligdag i en sådan grad, at vi på godt gammeldags dansk er på skideren, hvis strømmen, vandet og internettet forsvinder i mere end bare et par timer.

Sådan er det, endda selv om vi allerede i 1973-74 oplevede, hvordan afhængighed af olie fra OPEC-landene medførte en forsyningskrise. Små 50 år senere mærkede Europa igen, hvor afhængige vi var af russisk gas, så noget kunne tyde på, at vi ikke har lært af tidligere tiders krise?

Med implementeringen af CER-direktivet i Europa øger vi igen fokus på robuste forsyninger og forsyningskæder i kritiske enheder og produktionsvirksomhederne. Men er det nok? Og hvor lang tid går der, før vi ser en reel forøgelse af robustheden som følge af lovgivningen?

Lovgivning er central for et resilient Danmark

Vi starter næsten fra scratch med at genopbygge robustheden, og det gælder på alle niveauer fra det personlige til virksomhedsniveau og helt op til det samlede nationale beredskab, som støtter det offentlige Danmark og vores kritiske infrastruktur.

Min vurdering er, at lovgivning i alle dens afskygninger kommer til at spille en helt central rolle i at opbygge et mere resilient Danmark.

Men lovgivningen har også brug for nogle rammer at blive foldet ud i. CER- og NIS2-direktiverne har i samspil med det koldere geopolitiske klima affødt et behov for et at samle indsatsen i et nyt ministerium for Samfundssikkerhed og Beredskab (MSSB) med underliggende styrelser. I mine øjne er MSSB en helt rigtig prioritering, som skal danne grundlaget og få momentum i genetableringen af et robust og resilient Danmark.

Nyt ministerium skal være omdrejningspunkt

Ministeriet er blevet til i en tid med øget usikkerhed i verden. Vi har set impact fra en pandemi, vores forsyningslinjer er blevet udfordrede, vi er gået fra ’just in time’-produktion i Fjernøsten til et ønske om at opbygge større produktions- og lagerbeholdninger i Europa – som så igen er blevet udfordret af krigshandlingerne i Ukraine.

Vi har brug for, at der er et fast holdepunkt i det nye MSSB, for sårbarheder er der nok af: Hele samfundet er afhængigt af stabil elforsyning, både det offentlige og det private Danmark er gennemdigitaliseret, og vores produktionslinjer er optimerede til bristepunktet. Kun ganske få virksomheder opererer med indbygget ekstra kapacitet eller backup, og stort set alle er afhængige af mindre underleverandører, som reelt udgør rygraden i det danske erhvervsliv.

Hvem har ansvaret i virksomhederne?

Ude på arbejdspladserne er det ikke overraskende ledelsen, der har det formelle ansvar for, at virksomheden lever op til f.eks. NIS2- og CER-direktivernes krav om robusthed. Den eneste rigtige måde at gøre det på er en risikobaseret tilgang, hvor virksomheden arbejder med at minimere eller eliminere konsekvenserne af de hændelser, som påvirker virksomhedens evne til at levere sine ydelser som kritisk infrastruktur-operatør eller -leverandør.

Men er et placeret ledelsesansvar nok til, at vi får mere robuste virksomheder?

Nej, men det giver grundlag for, at ledelsen først accepterer og dernæst faciliterer, at området skal prioriteres. Der skal arbejdes med kulturen og skabes sammenhold, der skal identificeres afhængigheder, som kan svække virksomhedens evne til at levere deres ydelser i tilfælde af en hændelse, ledelsen skal sikre, at der udarbejdes planer for de relevante scenarier, og endelig skal ledelsen sørge for, at planer og systemer bliver testet under realistiske forhold.

Forbered dig på hændelser i virksomheden

Gennem aktiv beredskabsplanlægning, herunder muligheden for at etablere kriseledelse, skal virksomheden rustes til at imødegå hændelser. Her kommer lovgivningen til at understøtte, at der faktisk udarbejdes et plansæt, og at der lægges energi i at forebygge hændelser.

Hændelseshåndtering skal være en del af driftsorganisationen, så virksomheden kan reagere og imødegå en varslet eller uvarslet hændelse så tidligt som muligt og dermed sinke eller forhindre, at en hændelse udvikler sig til en krise.

Dette kræver dog mere end blot et sæt planer. Jeg er nødt til at gentage, at der også er brug for uddannelse, implementering og øvelser.

Når en hændelse påvirker virksomhedens evne til at sikre sin drift, skal planen for forretningskontinuitet sikre, at virksomheden kan levere et minimumsniveau af sine ydelser, samtidig med at arbejdet med at normalisere og genoprette driften pågår.

Et styrket Danmark med større robusthed

I DBI forventer vi, at de sektoransvarlige myndigheder ender med at udpege omkring 1.000 virksomheder som kritisk infrastruktur. De skal naturligvis overholde den danske udgave af CER-lovgivningen, men dette betyder også, at helt op til 25.000 af deres underleverandører vil blive underlagt lignende krav i deres kontrakter med kritisk infrastruktur-virksomhederne.

Og det er slet ikke så skidt – ja, faktisk er det sund fornuft på dåse. Fordi det, der ved første øjekast kunne virke som et bureaukratisk EU-benspænd, i sidste ende er med til at gøre hele det danske erhvervsliv mere robust og resilient. Og det styrker både virksomhederne og Danmark.