Et cyberangreb på køle- og frysesystemer i europæiske supermarkeder har sat ny fart på debatten om, hvor godt virksomheder og myndigheder egentlig er rustet til digitale kriser. Samtidig viser sagen, at reglerne ikke rammer alle dele af samfundet lige hårdt.
Det skriver Version2, som peger på, at detailhandlen ikke er omfattet af NIS2 – EU-reglerne, der skal løfte cybersikkerheden i samfundskritiske sektorer.
Det betyder, at et område som supermarkeders køle- og frysediske kan blive ramt, uden at netop detailleddet er dækket af de nye krav. Ifølge mediet blev køle- og frysediske i flere europæiske supermarkeder gjort 50 grader varme, så mad for millioner måtte kasseres.
Fødevaresektoren har begrænset tilsyn
Sagen har fået Styrelsen for Samfundssikkerhed til at reagere. I en pressemeddelelse kalder styrelsen den for “En sag, som er virkelig vigtig tage bestik af”.
Men selv om sagen har fået opmærksomhed, er myndighedernes værktøjer begrænsede på fødevareområdet. Version2 skriver, at Fødevarestyrelsen har ansvaret for området, men ikke kan føre almindeligt, forebyggende tilsyn efter NIS2 med virksomhederne i sektoren.
“Fødevarestyrelsen kan derfor kun føre reaktive tilsyn med disse virksomheder,” oplyser styrelsen til Ingeniøren ifølge Version2.
Finanssektoren øver de værste scenarier
I finanssektoren ser billedet anderledes ud. Her er sikkerhedskravene generelt højere, og sidste år gennemførte sektoren en stor stresstest, skriver Version2 med henvisning til Weekendavisen.
Scenariet blev beskrevet som ekstremt, men plausibelt. Øvelsen tog udgangspunkt i, at hackere havde fået adgang til systemet, der holder styr på, hvilke værdipapirer danskerne ejer, og at data bagefter var blevet manipuleret, så også sikkerhedskopierne var kompromitteret.
Finanstilsynet, Nationalbanken og landets største banker deltog i øvelsen for at finde svar på, hvordan en sådan krise skulle håndteres, hvis den blev virkelig.
Store forskelle fra sektor til sektor
Historien viser, at cybersikkerhed ikke kun handler om, hvor alvorlig truslen er, men også om hvilke regler og tilsyn der gælder på det enkelte område. Fødevaresektoren og finanssektoren bliver ikke mødt med de samme krav eller de samme muligheder for kontrol.
NIS2 er EU’s regelsæt for cybersikkerhed i samfundskritiske sektorer. Men ifølge Version2 er detailhandlen altså ikke omfattet, mens led som fødevareproduktion, engroshandel og logistik er det.
Det efterlader et billede af et digitalt beredskab, hvor nogle sektorer allerede træner de værste tænkelige angreb, mens andre i højere grad må reagere, når skaden er sket.