Ja, men ret beset er risikoen ret lille, hvis impact og sandsynlighed er det samme som GDPR. så hvorfor skynde sig?

Ja, det kræver ikke megen tid med regnearket at konstatere at det er billigere at betale bøden, end at bruge en masse tid på at leve op til kravene.

Læs direktivets paragraf 20:

Overskriften er 'Kapitel IV Foranstaltninger til styring af cybersikkerhedsrisici og rapporteringsforpligtelser'

Artikel 20 Styring

1. Medlemsstaterne sikrer, at de væsentlige og vigtige enheders ledelsesorganer godkender de foranstaltninger til styring af cybersikkerhedsrisici, som disse enheder har truffet med henblik på at overholde artikel 21, fører tilsyn med dens gennemførelse og kan gøres ansvarlige for enhedernes overtrædelser af forpligtelserne i nævnte artikel. ...
2. Medlemsstaterne sikrer, at medlemmerne af væsentlige og vigtige enheders ledelsesorganer er forpligtet til at følge kurser, og skal tilskynde væsentlige og vigtige enheder til løbende at tilbyde tilsvarende kurser til deres ansatte, således at de opnår tilstrækkelige kundskaber og færdigheder til at kunne identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici og deres indvirkning på de tjenester, der leveres af enheden.

Jeg synes, at det handler rigtig meget om risikobaseret tænkning og -styring.

Hvis der stod at virksomhederne skulle arbejde risikobaseret, ville det kræve så meget mere og ville kræve en implementeringsperiode på et par år, mindst. Der er ikke ret mange virksomheder som kan dokumentere at de de arbejder risikobaseret.

Du må mene noget andet end den interview'ede mht. risikobaseret. Som opsummeret fint her - står det allerede som et krav i GDPR at man skal arbejde risikobaseret med sin sikkerhed / databeskyttelse - https://www.collibra.com/us/en/blog/adopting-a-risk-based-approach-to-comply-with-gdpr

Så hvis man ikke gør det allerede, er man i brud med GDPR :(