For de fleste mindre og mellemstore virksomheder fungerer det godt at have cybersikkerhed på hvert ordinært bestyrelsesmøde som et kort punkt på 15 til 20 minutter. En gang om året afsættes der mere tid til en grundig gennemgang af risici, strategi og plan for det kommende år. Punktet skal ende med beslutninger, som skrives i referatet. Det kan være godkendelse af en prioritering, en risikoaccept eller en bevilling. Orientering uden beslutning er nyttig, men den bør fylde mindst.
Hvorfor et fast punkt virker bedre end ad hoc
Når cybersikkerhed kun kommer på dagsordenen efter en hændelse eller et kundekrav, møder bestyrelsen emnet under tidspres. Beslutninger tages på et tyndt grundlag, og opfølgningen falder væk, når presset letter. Et fast punkt giver kontinuitet. Bestyrelsen ser udviklingen over tid og kan spørge til ting, der blev aftalt sidst.
For NIS2-omfattede virksomheder er der en særlig grund. Ledelsesorganet skal efter NIS2-lovens § 7 godkende sikkerhedsforanstaltningerne og føre tilsyn med, at de gennemføres. Et tilsyn, der skal kunne dokumenteres, forudsætter, at emnet er behandlet jævnligt og står i referaterne. Hvem der udgør ledelsesorganet i jeres selskabsform, er forklaret i artiklen hvem er ledelsesorganet efter NIS2-loven?. Også virksomheder uden for NIS2 har en bestyrelse, der efter selskabsloven skal påse, at der er forsvarlige procedurer for risikostyring, og IT-risici er for mange en væsentlig del af det billede.
Hyppighed og længde
En rytme, der passer mange, ser sådan ud:
- Hvert ordinært møde: kort punkt med status, ændringer i risikobilledet, hændelser og de beslutninger, der skal træffes nu.
- Én gang om året: længere gennemgang af den samlede risikovurdering, sikkerhedsstrategien og planen for næste år, gerne i forbindelse med budgettet.
- Mellem møderne: besked til formanden ved hændelser eller forhold, der ikke kan vente.
Virksomheder med stor afhængighed af IT eller med kunder, der stiller skrappe krav, kan have brug for en tættere rytme i en periode, fx det første år efter en NIS2-registrering. Hvordan de faste punkter fordeles over året, er beskrevet i artiklen om årshjul for sikkerhedsarbejdet i ledelsen.
Hvad der skal ligge i materialet
Bestyrelsen skal have materialet sammen med den øvrige mødeindkaldelse, så medlemmerne kan forberede sig. Én side er nok til det almindelige møde. Den bør dække de væsentligste risici og ændringer siden sidst, fremdriften i den plan, bestyrelsen har godkendt, hændelser og nærved-hændelser, og de beslutninger, der indstilles. Opbygningen af sådan en side er gennemgået i sikkerhedsrapport til bestyrelsen.
Tekniske detaljer hører hjemme i et bilag, hvis de overhovedet skal med. Bestyrelsen har brug for at forstå konsekvensen for forretningen: Hvilke kunder, hvilken produktion, hvilke data og hvilken økonomi står på spil? Den oversættelse er en af de vigtigste opgaver for den, der leder sikkerhedsarbejdet.
De beslutninger, punktet skal ende i
Et punkt, der aldrig ender i en beslutning, mister hurtigt bestyrelsens opmærksomhed. Typiske beslutninger er:
- Godkendelse af den prioriterede plan eller ændringer i den.
- Accept af en bestemt risiko for en afgrænset periode, med en dato for ny vurdering.
- Bevilling til et tiltag, der ligger uden for det godkendte budget.
- Godkendelse af politikker, fx informationssikkerhedspolitikken.
- Beslutning om at få et område undersøgt nærmere, fx ved en test eller en ekstern vurdering.
Beslutningerne skrives i referatet med ansvarlig og frist. Ved næste møde starter punktet med opfølgning på dem.
Hvem fremlægger
I mange virksomheder er det direktøren, der fremlægger, med materiale fra den, der leder sikkerhedsarbejdet. Er rollen ekstern, kan det give mening, at CISO deltager på punktet en eller to gange om året, især ved den årlige gennemgang. Bestyrelsen får så mulighed for at spørge direkte. Det bør være aftalt med direktionen, så rollefordelingen er klar. Referencelinjen for den eksterne er emnet i artiklen om referencelinjen for en ekstern CISO.
Bestyrelsens forhold til ekstern IT-ledelse i bred forstand, herunder hvad bestyrelsen bør spørge direktionen om, er beskrevet på ekstern-it-ledelse.dk under bestyrelsen og ekstern IT-ledelse.
Når der sker noget mellem møderne
Det faste punkt dækker den almindelige rytme. Alvorlige hændelser, et større brud hos en leverandør eller en henvendelse fra en myndighed kan ikke vente til næste møde. Aftal derfor på forhånd, hvornår formanden skal orienteres, og hvem der giver beskeden. En enkel tærskel kan være, at formanden får besked samme dag, hvis driften er ramt i mere end et par timer, hvis kundedata eller persondata kan være berørt, eller hvis der skal ske underretning til en myndighed. Formanden afgør derefter, om resten af bestyrelsen skal samles. På næste ordinære møde gennemgås forløbet som en del af det faste punkt, så bestyrelsen kan se, hvad der skete, og hvad der er ændret siden. Ledelsens rolle under en hændelse er beskrevet under beredskab og hændelser set fra ledelsen.
Det skal I lade være med
- At lægge punktet sidst på dagsordenen · det bliver det, der kortes ned, når mødet trækker ud.
- At bruge punktet på en teknisk gennemgang · bestyrelsen skal vurdere risiko og træffe beslutninger, og konfigurationer hører hjemme hos driften.
- At lade punktet bestå af grønne lamper · et billede uden problemer er sjældent retvisende og giver intet at beslutte.
- At springe opfølgningen over · beslutninger fra sidste møde skal gennemgås, før der tages nye.
- At lade sikkerhed ligge adskilt fra strategien · nye markeder, opkøb og nye systemer ændrer risikobilledet og bør nævnes i samme sammenhæng.
Det skal I kræve af den eksterne
Når en ekstern CISO leverer materialet til bestyrelsen, bør I kunne forvente:
- ☐ Materiale klar i god tid før mødeindkaldelsen sendes ud.
- ☐ En fast skabelon, så bestyrelsen kan sammenligne fra møde til møde.
- ☐ Tydelige indstillinger med begrundelse og konsekvens, hvis bestyrelsen siger nej.
- ☐ Sprog, som bestyrelsesmedlemmer uden teknisk baggrund kan bruge.
- ☐ Deltagelse ved den årlige gennemgang og ved behov.
- ☐ Opfølgning på tidligere beslutninger som første del af hvert punkt.
Sådan kommer I i gang
Formanden og direktøren kan aftale tre ting før næste møde: at punktet kommer på dagsordenen fast, hvor lang tid det får, og hvem der leverer materialet. Det første punkt kan være en kort gennemgang af, hvor virksomheden står i dag, og et forslag til, hvad bestyrelsen skal have forelagt fremover. Mangler virksomheden en, der kan lede arbejdet og forberede materialet, er CISO as a Service en af mulighederne.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7, hvorefter foranstaltningerne skal godkendes af ledelsesorganet, som fører tilsyn med dem.
- Selskabsloven, LBK nr. 331 af 20. marts 2025 (retsinformation.dk): § 115 om bestyrelsens opgaver, herunder procedurer for risikostyring.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Nøgletal for sikkerhed, som ledelsen kan følge · Ledelsen skal godkende og føre tilsyn
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
