I undersøgelsen er det kun 56% af de adspurgte, som føler sig sikre på, at deres virksomhed har tilstrækkeligt overblik over de sårbarheder, som forsyningskæder udsætter virksomheden for gennem digitale forbindelser. Dette er et alarmerende tal - især i en tid, hvor cyberangreb mod forsyningskritiske sektorer er blevet en favoritstrategi for både organiserede hackergrupper og statssponsorerede aktører. Angreb på en enkelt leverandør kan have kaskadeeffekter, der spreder sig gennem forsyningskæden og rammer virksomheder, der ellers troede, de var sikre.

DNVs undersøgels viser desuden, at forsyningskritiske virksomheder befinder sig i, hvad der bedst kan karakteriseres som et digitalt våbenkapløb. 38% af de adspurgte angiver, at cyberkriminelle kan have infiltreret deres forsyningskæde – uden at leverandørerne har rapporteret det. Cyberangreb rettes ikke længere kun mod virksomhederne selv, men i stigende grad mod de leverandører, som de er digitalt forbundet med.

Man er ikke stærkere end sit svageste punkt

- Man er ikke stærkere end sit svageste punkt. Cyberkriminelle målretter oftere sine angreb mod digitale sårbarheder i virksomheders forsyningskæder, hvilket giver adgang til flere organisationer og systemer - herunder kritisk infrastruktur. Hvis vi ikke sikrer hele forsyningskæden, er virksomhederne ikke beskyttet mod uønskede gæster. Det svarer jo til, at vi låser hoveddøren omhyggeligt, men lader bagdøren stå på klem, siger Stefán Kristjánsson, talsperson for DNV Cyber Danmark.

Virksomheder lukker hoveddøren – men lader bagdøren stå på klem

Virksomheder inden for kritisk infrastruktur har længe arbejdet med at sikre deres egne forsvarslinjer, men med NIS2 stilles der krav om at vende blikket mod en langt større udfordring: deres forsyningskæder. Gennem årtier har virksomheder åbnet digitale adgangsveje for underleverandører for at lette arbejdsgange – fra IT-overvågning og storage-løsninger til marketingbureauers hurtige dokumentudveksling. Problemet er ifølge Kristjánsson, at mens virksomhederne selv først nu for alvor begynder at kortlægge deres digitale forbindelser, har hackerne haft overblikket længe.

- NIS2 vil på sigt afhjælpe mange risici, men udfordringen er selve implementeringen. At gennemgå hver enkelt leverandør, forhandle nye sikkerhedskrav ind i kontrakterne og etablere løbende overvågning er et massivt og langvarigt arbejde. Hvis GDPR-lovgivningen er en målestok, kan det tage år, før NIS2 reelt får effekt – og spørgsmålet er, hvor meget skade der når at ske, mens virksomhederne stadig kæmper med at få styr på deres eksterne forbindelser, siger Stefán Kristjánsson.