Bestyrelsen under en alvorlig hændelse: hvornår og hvordan den inddrages

Under en alvorlig sikkerhedshændelse leder direktionen arbejdet, og bestyrelsen inddrages på to måder. Formanden orienteres, så snart hændelsen når en tærskel, som bestyrelsen selv har fastsat på forhånd, og bestyrelsen træffer de beslutninger, der efter selskabsloven ligger uden for den daglige ledelse. Kan en sådan beslutning ikke vente, kan direktionen træffe den og orientere bestyrelsen snarest muligt bagefter. Beredskabsplanen bør beskrive tærsklen, formandens rolle og de beslutninger, der skal forbi bestyrelsen, så ingen skal slå det op midt i krisen.

Hvorfor bestyrelsen har en rolle

Bestyrelsen står efter selskabsloven for selskabets overordnede retning og skal sikre, at virksomheden er forsvarligt organiseret. § 115 nævner blandt bestyrelsens pligter, at den skal se efter, at selskabet har procedurer til at styre risici og kontrollere sig selv. En alvorlig hændelse er det tidspunkt, hvor de procedurer bliver prøvet.

I en NIS2-omfattet virksomhed skal ledelsesorganet desuden godkende sikkerhedsforanstaltningerne og føre tilsyn med, at planen føres ud i livet, jf. § 7, stk. 1. Hvilket organ der er ledelsesorganet hos jer, afhænger af selskabsformen, se Ledelsesorganet efter NIS2, og samspillet mellem de to love i NIS2 og selskabsloven.

Bestyrelsen skal derimod ikke lede hændelsen. Den skal vide nok til at tage de beslutninger, der er dens, og til at kunne stå inde for forløbet bagefter.

Tærsklen for at ringe til formanden

Direktøren bør ikke skulle vurdere fra gang til gang, om formanden skal forstyrres en lørdag aften. Bestyrelsen kan fastsætte nogle få kriterier, der udløser en orientering. Eksempler:

• kernedriften står stille eller forventes at stå stille ud over en bestemt periode
• der er mistanke om, at personoplysninger eller forretningshemmeligheder er kopieret
• der er fremsat krav om løsesum eller trusler om offentliggørelse
• hændelsen skal underrettes til myndighederne efter NIS2-loven eller til Datatilsynet
• pressen har henvendt sig, eller sagen er kendt udadtil
• de forventede udgifter overstiger, hvad direktionen kan disponere over

Kriterierne skrives ind i ledelsens del af beredskabsplanen og godkendes af bestyrelsen. Tærsklen virker begge veje. Formanden skal kunne regne med, at der ikke ringes ved hver mistænkelig mail, og at et opkald betyder, at sagen er alvorlig. Det gør det lettere at reagere hurtigt, når opkaldet kommer. Er der tvivl, ringes der. En orientering, der viste sig unødvendig, koster mindre end en formand, der læser om sagen i avisen. Planens øvrige indhold er beskrevet i Beredskabsplan: ledelsens del af planen.

Formandens rolle undervejs

Formanden er bestyrelsens kontakt til kriseledelsen og som regel ikke medlem af den. Det giver formanden mulighed for at stille spørgsmål uden at blive en del af de operationelle beslutninger, og for at vurdere, hvornår den samlede bestyrelse skal samles.

Aftal på forhånd, hvordan formanden holdes orienteret: fx en kort status fra direktøren på faste tidspunkter i de første døgn, så formanden ikke ringer midt i en teknisk drøftelse. Aftal også, hvem der orienterer de øvrige bestyrelsesmedlemmer, og hvad de må sige, hvis de bliver spurgt udefra. Talspersonen og budskaberne er emnet for krisekommunikation ved et cyberangreb.

Tag den familieejede produktionsvirksomhed med 40 ansatte og en bestyrelse på fire. Planen siger, at formanden orienteres, når produktionen har stået i mere end fire timer, og at der derefter kommer en status kl. 8 og kl. 16. Ved den anden status beder formanden om et ekstraordinært møde, fordi angriberne truer med at offentliggøre tegninger fra kunderne.

Beslutninger, der hører til bestyrelsen

Efter selskabslovens § 117, stk. 1, omfatter den daglige ledelse ikke dispositioner, der efter selskabets forhold er af usædvanlig art eller stor betydning. Sådanne dispositioner kan direktionen kun foretage efter særlig bemyndigelse fra bestyrelsen. Hvad der er usædvanligt, afhænger af selskabet, men under en alvorlig hændelse kan det fx være:

1. en beslutning om at betale eller forhandle med angriberne, se Skal vi betale løsesummen?
2. større udgifter uden for budgettet til genetablering, nyt udstyr eller eksterne eksperter
3. at lukke en forretningsgren eller en kundeleverance i længere tid
4. udmeldinger, der kan få væsentlig betydning for selskabets omdømme eller for ejerne

Bestyrelsen kan give direktionen en bemyndigelse på forhånd, fx en ramme for udgifter under en hændelse. Det er en praktisk måde at undgå, at genetableringen venter på et møde.

Hastebeslutninger og efterfølgende forelæggelse

§ 117, stk. 1, giver direktionen adgang til at handle selv, hvis bestyrelsens beslutning ikke kan afventes uden væsentlig ulempe for selskabet. Bestyrelsen skal i så fald underrettes snarest muligt om den trufne disposition.

I praksis betyder det, at loggen over beslutninger skal være så præcis, at den kan forelægges bestyrelsen: hvad blev besluttet, hvornår, på hvilket grundlag, og hvorfor kunne det ikke vente. Notatet kan være kort, men det skal skrives, mens beslutningen træffes, så grundlaget står klart, når bestyrelsen spørger. Bestyrelsen tager orienteringen til efterretning eller godkender beslutningen på det næste møde, og det fremgår af protokollen.

Selskabsloven nævner i § 130, stk. 2, at forretningsordenen kan indeholde bestemmelser om skriftlige og elektroniske møder. Kontrollér, at jeres forretningsorden gør det muligt at holde et beslutningsdygtigt møde over telefon eller video med kort varsel, også hvis selskabets egne systemer er nede.

Har selskabet ingen bestyrelse, ligger også den strategiske ledelse hos direktionen efter § 117, stk. 2. Så falder de fleste af disse overvejelser sammen hos direktøren, og så er det ejerne, der bør vide, hvornår de orienteres.

Det skal I lade være med

• At lade direktøren gætte på, hvornår formanden skal vide besked · tærsklen skal være aftalt.
• At gøre formanden til leder af kriseledelsen · så mister bestyrelsen sit overblik.
• At træffe usædvanlige beslutninger uden bemyndigelse og uden notat · forelæggelsen bagefter kræver grundlaget.
• At glemme forretningsordenen · et møde skal kunne holdes uden virksomhedens egne systemer.
• At lade bestyrelsen høre om sagen fra pressen · det svækker tilliden til direktionen.

Det skal I kræve af den eksterne

• ☐ Et udkast til tærskler for orientering af formanden, som bestyrelsen kan godkende.
• ☐ En liste over beslutninger, der kræver bestyrelsen, tilpasset jeres selskab.
• ☐ En skabelon til status til formanden under hændelsen.
• ☐ En log, der kan forelægges bestyrelsen som grundlag for efterfølgende godkendelse.
• ☐ Et scenarie med bestyrelsen i den årlige øvelse.

Næste skridt er at sætte tærsklen og bemyndigelsen på dagsordenen til det næste bestyrelsesmøde. Når hændelsen er overstået, følger bestyrelsen op gennem evalueringen efter hændelsen.

Kilder

• Selskabsloven, LBK nr. 331 af 20. marts 2025 (retsinformation.dk): § 115 om bestyrelsens opgaver, § 117, stk. 1 og 2, om direktionens daglige ledelse og dispositioner af usædvanlig art og § 130, stk. 2, om forretningsordenen.
• Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7, stk. 1, hvorefter ledelsesorganet godkender foranstaltningerne og følger gennemførelsen.

Senest gennemgået: november 2026.

Næste skridt

• Cybersikkerhed i bestyrelseslokalet
• Beredskab og hændelser set fra ledelsen

Læs også: Cybersikkerhed som fast punkt på bestyrelsesmødet · De første timer efter en sikkerhedshændelse

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT