Et årshjul for sikkerhed er en enkel plan, der fordeler ledelsens faste opgaver over årets måneder, så intet glider i glemmebogen. De punkter, der går igen hos de fleste, er den årlige risikovurdering, gennemgang af informationssikkerhedspolitikken, en beredskabsøvelse, fornyelse af cyberforsikringen, opfølgning på de kritiske leverandører, uddannelse af ledelse og medarbejdere og budgettet for næste år. Hvert punkt får en måned, en ansvarlig og en beslutning, som ledelsen skal træffe. Årshjulet lægges, så punkterne passer med de bestyrelsesmøder og frister, virksomheden allerede har.
Hvorfor et årshjul
Meget af sikkerhedsarbejdet er gentagelse. Risikovurderingen skal opdateres, politikken skal læses igennem, og forsikringen skal fornyes. Uden en plan bliver opgaverne løst, når nogen husker dem, eller når en kunde eller et forsikringsselskab spørger. Det giver travlhed på forkerte tidspunkter og huller, som først opdages, når der er brug for dokumentationen.
Et årshjul gør det modsatte. Det fordeler arbejdet jævnt, skaber en forudsigelig rytme for ledelsen og gør det let at vise, at sikkerheden er fulgt op gennem hele året. For NIS2-omfattede virksomheder er det en praktisk måde at tilrettelægge ledelsesorganets godkendelse og tilsyn, så det kan dokumenteres. Ledelsens pligter er gennemgået under NIS2 og ledelsens ansvar.
Et eksempel på et årshjul
Eksemplet tager udgangspunkt i en virksomhed med regnskabsår, der følger kalenderåret, og fire ordinære bestyrelsesmøder. Månederne flyttes efter jeres egen kalender.
- Januar: Opfølgning på sidste års plan. Status på tiltag, der ikke blev gennemført, og beslutning om, hvad der føres videre.
- Februar til marts: Opdatering af risikovurderingen. Ledelsen godkender de vigtigste risici og den prioriterede plan for året, se risikovurdering for ledelsen.
- April: Gennemgang af de kritiske leverandører. Nye leverandører siden sidst, krav, der ikke er opfyldt, og aftaler, der skal genforhandles.
- Maj til juni: Beredskabsøvelse for ledelsen med efterfølgende opdatering af beredskabsplanen.
- August: Gennemgang af informationssikkerhedspolitikken og andre politikker, der skal godkendes af ledelsen.
- September: Forberedelse af forsikringsfornyelsen, hvis den ligger i efteråret. Svarene til forsikringsselskabet gennemgås op mod den faktiske tilstand.
- Oktober: Budget for sikkerhedsarbejdet næste år, koblet til risikovurderingen og planen.
- November: Uddannelse af ledelsen og planlægning af medarbejdertræning for næste år.
- Hvert bestyrelsesmøde: Fast punkt med status, hændelser og beslutninger.
Forsikringen er placeret efter fornyelsesdatoen, som varierer fra virksomhed til virksomhed. Hvad forsikringsselskaber typisk spørger om, er beskrevet under cyberforsikring og sikkerhedsarbejdet.
Koblingen til bestyrelsesmøderne
Årshjulet virker bedst, når de store beslutninger lægges på møder, der allerede er i kalenderen. Risikovurderingen og planen for året passer godt på forårets møde. Budgettet hører sammen med det møde, hvor det øvrige budget behandles. Øvelsen kan lægges i forbindelse med et strategiseminar, hvor ledelsen alligevel har afsat tid.
Imellem de store punkter står sikkerhed på dagsordenen som et kort, fast punkt. Hvordan det punkt kan bygges op, er beskrevet i artiklen om det faste bestyrelsespunkt.
Hvem holder årshjulet
Årshjulet skal ejes af én person. I virksomheder uden egen sikkerhedsfunktion kan det være en ekstern CISO, der står for, at materialet er klar i god tid, og at beslutningerne bliver skrevet ned. Direktøren godkender årshjulet og sætter punkterne på dagsordenen. Leverandører, revisor og forsikringsmægler kan have opgaver i hjulet, men ansvaret for helheden bør ligge ét sted. Den ansvarlige gennemgår hjulet med direktøren i starten af hvert kvartal, så de næste punkter er planlagt, og så ændringer i kalenderen bliver fanget i tide. Flytter et bestyrelsesmøde, flytter de punkter, der hører til det, med.
Et kort eksempel: Et softwarehus har fem udviklere, og en af kunderne kræver dokumentation efter ISO 27001. Her lægges kundens årlige leverandørgennemgang ind i hjulet. Dokumentationen, kunden plejer at bede om, opdateres måneden før. Så er svarene klar, når forespørgslen kommer, og samme materiale kan bruges over for andre kunder. Mere om kundekrav står på temasiden om kundekrav.
Uddannelse og øvelse fortjener deres egne datoer
To punkter i hjulet kræver en ekstra forklaring. Uddannelse af ledelsen er et krav for NIS2-omfattede virksomheder, hvor medlemmerne af ledelsesorganet efter lovens § 7, stk. 2, skal følge relevante kurser i at styre risici på cybersikkerhedsområdet. Loven fastlægger ikke, hvor ofte eller i hvilken form. Et fast punkt i årshjulet betyder, at nye medlemmer kommer med, og at indholdet følger de risici, virksomheden står over for. Hvad et brugbart forløb bør indeholde, er beskrevet i NIS2-uddannelse af ledelsen.
Øvelsen er det punkt, der oftest bliver udskudt, fordi den kræver, at hele ledelsen er samlet i et par timer. Den er samtidig det punkt, der afslører flest huller i beredskabsplanen. Sættes datoen et år frem og behandles som et bestyrelsesmøde, bliver den som regel gennemført. Erfaringerne fra øvelsen tages med, når risikovurderingen opdateres næste gang.
Det skal I lade være med
- At lave et årshjul med flere punkter, end ledelsen kan nå · start med de vigtigste og udvid, når rytmen sidder.
- At lægge alle punkter i samme kvartal · det skaber pres og risiko for, at noget springes over.
- At glemme frister, der ligger uden for huset · forsikringsfornyelse, kundernes årlige gennemgange og myndighedskrav bestemmer en del af kalenderen.
- At lade hjulet være en plan uden beslutninger · hvert punkt skal ende i noget, ledelsen godkender eller tager stilling til.
- At lade hjulet stå uændret år efter år · nye systemer, leverandører og krav ændrer, hvad der skal med.
Det skal I kræve af den eksterne
- ☐ Et forslag til årshjul tilpasset jeres møderytme, regnskabsår og fornyelsesdatoer.
- ☐ Klar angivelse af, hvem der er ansvarlig for hvert punkt.
- ☐ Materiale til hvert punkt i god tid før mødet.
- ☐ Opfølgning, når et punkt ikke bliver gennemført som planlagt.
- ☐ En årlig evaluering af hjulet med forslag til ændringer.
- ☐ Årshjul og referater gemt i jeres egne systemer.
Sådan bygger I det første hjul
Tag jeres kalender for næste år, og marker bestyrelsesmøder, budgetproces, forsikringsfornyelse og kendte kundefrister. Fordel derefter de faste sikkerhedspunkter rundt om dem. Første år er det fint at have færre punkter og gennemføre dem alle. Mangler I en, der kan holde hjulet i gang, kan CISO as a Service være en løsning. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7, stk. 1, om godkendelse og tilsyn og stk. 2 om kursusdeltagelse for medlemmerne af ledelsesorganet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på · Sikkerhedsrapport til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
