Cybersikkerhed i bestyrelseslokalet

Bestyrelsen skal have et billede af virksomhedens cyberrisici, der er kort nok til at blive læst og konkret nok til at blive besluttet ud fra. Det betyder en fast rapport om de største risici, fremdriften i planen, hændelser siden sidst og de beslutninger, der venter. Cybersikkerhed hører hjemme på dagsordenen i samme sprog som andre forretningsrisici, og en ekstern CISO kan stå for at oversætte fra teknik til konsekvens.

Hvorfor bestyrelsen skal være med

Efter selskabslovens § 115 varetager bestyrelsen i et kapitalselskab den overordnede og strategiske ledelse, og den skal sikre, at organisationen er forsvarlig. Bestyrelsen skal også påse, at der findes de nødvendige procedurer til risikostyring og interne kontroller. Cyberrisici er en del af det billede, når virksomheden er afhængig af sine systemer for at kunne levere.

Er virksomheden omfattet af NIS2-loven, og er bestyrelsen ledelsesorgan, skal den godkende sikkerhedsforanstaltningerne, føre tilsyn med gennemførelsen og deltage i relevante kurser. Pligterne er gennemgået på NIS2 og ledelsens ansvar.

Hvad der skal på bordet

En rapport til bestyrelsen kan holdes til en enkelt side, hvis den indeholder det rigtige:

• De største risici · højst en håndfuld, hver beskrevet med konsekvensen for forretningen og udviklingen siden sidst.
• Fremdrift i planen · hvad der er gennemført, hvad der er forsinket, og hvorfor.
• Hændelser · forløbet kort, følgerne for driften og de rettelser, der er sat i gang.
• Krav udefra · nye krav fra kunder, forsikringsselskab eller myndigheder, og hvad de betyder for planen.
• Beslutninger · det, bestyrelsen skal tage stilling til på mødet, med en klar indstilling.

Det sidste punkt er det vigtigste. En rapport uden beslutninger bliver hurtigt til orientering, som bestyrelsen tager til efterretning og glemmer. Indstillingen bør derfor fortælle, hvad der foreslås, hvad det kræver af tid eller penge, og hvad der sker, hvis bestyrelsen siger nej.

Hvor ofte

Et fast punkt på hvert ordinært bestyrelsesmøde giver kontinuitet, også selv om punktet nogle gange tager få minutter. Derudover bør der en gang om året afsættes tid til en grundigere gennemgang af risikovurderingen og strategien. Et årshjul samler de faste punkter: risikovurdering, politik, øvelse, fornyelse af forsikring og gennemgang af leverandører. Ved alvorlige hændelser orienteres bestyrelsen straks efter den plan, der er aftalt på forhånd, se beredskab.

Fra teknik til forretningsrisiko

Tekniske nøgletal som antal blokerede angreb eller procent opdaterede maskiner siger lidt til en bestyrelse, medmindre de forbindes med en konsekvens. Spørgsmålet er altid, hvad tallet betyder for evnen til at levere til kunderne. Få nøgletal, der følges over tid, giver mere styring end mange grafer. Et eksempel kan være, hvor lang tid det vil tage at få ordresystemet tilbage efter et nedbrud, og hvornår det sidst blev afprøvet.

Den eksterne CISO bør kunne svare på bestyrelsens spørgsmål direkte. Det kræver, at rollen deltager i møderne, når cybersikkerhed er på dagsordenen, eller i det mindste er til rådighed for spørgsmål.

Hvem CISO’en refererer til

Den eksterne CISO refererer normalt til den administrerende direktør. Bestyrelsen bør dog have mulighed for at høre CISO’ens vurdering direkte, så rapporteringen ikke filtreres undervejs. En enkel løsning er, at CISO’en deltager ved punktet en gang om året, og at bestyrelsesformanden kan kontakte CISO’en, når der er behov for det. Hvordan rollen er skruet sammen, er beskrevet på Hvad er CISO as a Service?.

Til formanden

Formanden sætter dagsordenen og afgør, hvor dybt bestyrelsen går ned i emnet. En god forberedelse er at kende de spørgsmål, der skiller en solid status fra en overfladisk. De står i Ti spørgsmål, bestyrelsen bør stille direktionen om cybersikkerhed. Formanden bør også vide, hvad loven siger om det personlige ansvar, som er gennemgået i Personligt ansvar for direktører og bestyrelse efter NIS2, og hvordan det spiller sammen med bestyrelsens almindelige pligter i NIS2 og selskabslovens krav til ledelsen.

Tilsynet bliver lettere, når bestyrelsen en gang om året får en samlet vurdering af, om foranstaltningerne virker. Hvordan den vurdering bygges op, står i Hvordan ledelsen vurderer, om foranstaltningerne virker. Endelig bør formanden og direktøren have aftalt, hvornår formanden ringes op under en alvorlig hændelse, og hvilke beslutninger der da kræver bestyrelsen, se Bestyrelsen under en alvorlig hændelse.

Artikler om bestyrelse og rapportering

• Cybersikkerhed som fast punkt på bestyrelsesmødet Hvor ofte, hvor længe, og hvad der skal besluttes hver gang.
• Sikkerhedsrapport til bestyrelsen: én side, der kan bruges Indholdet af en kort rapport uden teknisk fyld.
• Nøgletal for sikkerhed, som ledelsen kan følge Få tal, der giver mening for forretningen.
• Hvem refererer CISO til, når rollen er ekstern? Referencelinjen og betydningen for uafhængigheden.
• Årshjul for sikkerhedsarbejdet i ledelsen De faste punkter gennem året.

Det skal I lade være med

• At gemme punktet til sidst på dagsordenen · det bliver det punkt, der springes over, når tiden løber.
• At forelægge tekniske rapporter direkte · bestyrelsen skal have konklusionerne og beslutningerne.
• At nøjes med grønne lamper · en status uden forklaring giver ikke bestyrelsen grundlag for tilsyn.

Det skal I kræve af den eksterne

• ☐ En rapport på højst et par sider med en klar indstilling.
• ☐ Den samme struktur fra møde til møde, så udviklingen kan følges.
• ☐ Deltagelse i bestyrelsesmødet, når risikovurderingen behandles.
• ☐ Et forslag til årshjul, som passer med bestyrelsens mødeplan.

Kilder

• Selskabsloven: gældende bekendtgørelse er nr. 331 fra marts 2025, og bestyrelsens opgaver står i § 115.
• NIS2-loven: § 7 samler ledelsesorganets pligter.

Senest gennemgået: november 2026.

Flere artikler til bestyrelsen

• Sikkerhedskultur: de tegn, ledelsen kan følge med i
• Ny ejer med krav om sikkerhedsrapportering
• Spørgsmål, direktøren bør stille sin CISO hvert kvartal

Næste skridt

• Sikkerhedsrapport til bestyrelsen
• Cybersikkerhed som fast punkt på bestyrelsesmødet

Læs også: Årshjul for sikkerhedsarbejdet i ledelsen · Risikovurdering og sikkerhedsstrategi

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT