Mythos-ready för styrelsen

1. Time-to-exploit har kollapsat. En sårbarhet som publiceras klockan åtta på morgonen kan vara automatiskt vapeniserad och i bruk innan kvällen. Antagandet om att organisationen har 30 dagar att rulla ut en patch — som ligger till grund för de flesta change advisory-rutiner — stämmer inte längre för den övre allvarlighetsklassen.

2. AI-agenter är nu privilegierade arbetstagare. I de flesta organisationer kör idag mjukvaru-agenter (MCP-servrar, IDE-tillägg, agent-skills) som har samma åtkomst till källkod, hemligheter och produktions­system som en mänsklig ingenjör. Skillnaden: de saknar ofta dokumenterad ägare, övervakning eller ansvars­utkrävande. De är en attackyta och ett angreppsverktyg på samma gång.

3. Defensiva AI-verktyg går från experimentella till operativt nödvändiga. Frivilliga AI-program i säkerhets­teamet skapar spridd kapacitet — några team i framkant, resten efter. Angripare opererar redan i maskinhastighet och riktar sig mot eftersläntrarna. Att säkerhets­funktionen fått mandat att använda AI är skillnaden mellan ett organiserat försvar och ett individbaserat.

Cloud Security Alliances rapport bedömer att kapacitet som idag finns hos ett fåtal frontier-laboratorier blir tillgänglig som open-weight-modeller inom 6–12 månader. Det är tidsfönstret som driver schemats angelägenhet. Stämmer prognosen blir anfall som idag kräver statliga resurser billiga och allmänt tillgängliga, försvars­teamets arbets­belastning ökar diskontinuerligt, och risk­modeller som inte uppdaterats förlorar sin täckning under NIS2/DORA-rapporteringen.

Risk­bilden ni förvaltar är systematiskt för låg. Pre-AI-antaganden i risk­register, försäkringsavtal och kvartals­rapporter ger ett grönare läge än verkligheten. Det är inte ett påhittat problem. Det påverkar investerings­beslut, försäkrings­täckning och NIS2-efterlevnad direkt.

Personligt ansvar under NIS2 art. 20. NIS2-direktivet och dess svenska implementering (Cybersäkerhetslagen) flyttar uttryckligen ansvar för cybersäkerhets­styrning till lednings­nivå. Art. 20 kräver att lednings­organ godkänner risk­hanterings­åtgärder, övervakar genomförandet, och kan hållas personligen ansvariga för bristande efterlevnad. Ledamöter ska delta i utbildning. Styrelsen ska kunna visa att man fattat informerade beslut — inte att man delegerat allt till CISO. Beslutsraden nedan är formulerad så att den både ger CISO mandat och samtidigt utgör ett dokumentations­spår för revision.

För finansiell sektor: DORA art. 5. DORA art. 5 ställer specifika krav på lednings­organets ansvar för ICT-risk­hanterings­ramverket — skriftligt godkänt, regelbundet granskat. Beslut nr 1 (mandatera AI-agent), nr 2 (innovations­forum) och nr 3 (uppdaterad risk­rapport) är de tre som direkt adresserar detta krav. Se DORA art. 5-mappning.

Vid betydande incident: 24 h / 72 h / 1 månad. NIS2 art. 23 och DORA art. 19 har olika tröskl­ar. Som styrelse ska ni inte mikro-styra rapportering — men ni ska veta att Mythos-typiska incidenter kan trigga rapporterings­krav, och att kommunikations­vägen ska vara förberedd före första larm.