Er du ejerleder i et selskab, der kun har en direktion, er du selv ledelsesorganet efter NIS2-loven, hvis virksomheden er omfattet. Du godkender sikkerhedsforanstaltningerne, du fører tilsyn med dem, og du skal på kursus. Samtidig har du typisk de fleste adgange, den største viden om systemerne og den adresse, svindlere skriver til. Den kombination gør dig til både virksomhedens vigtigste beslutningstager og dens største enkeltrisiko. Løsningen er at skille de tre roller ad, så hver af dem kan holdes øje med.
Du er ledelsesorganet
Begrebet ledelsesorgan står i § 3, nr. 20, i NIS2-loven. I selskaber, der alene har en direktion, er det direktionen. Er du eneste direktør, er det dig. § 7 giver ledelsesorganet tre opgaver: at godkende foranstaltningerne, at følge, om planen bliver fulgt, og at deltage i kurser om styring af cybersikkerhedsrisici.
Det betyder, at du skal godkende noget, som du ofte også selv har været med til at bygge. Der er ingen bestyrelse, der stiller kontrolspørgsmål. Tilsynet bliver derfor kun reelt, hvis der er en anden, der forbereder og vurderer, og du selv godkender på et skriftligt grundlag. Hvordan godkendelse og tilsyn kan se ud i praksis, er beskrevet i godkendelse og tilsyn efter NIS2.
Har selskabet både en direktion og en bestyrelse, er det efter samme bestemmelse bestyrelsen, der er ledelsesorganet. Sidder du selv i bestyrelsen sammen med familie eller en nær bekendt, ændrer det sjældent meget i praksis. Spørgsmålet er, om nogen af medlemmerne har tid og viden til at stille de kritiske spørgsmål, eller om bestyrelsen godkender det, du lægger frem, uden at have prøvet det af.
Er virksomheden ikke omfattet af loven, gælder de samme overvejelser over for kunder og forsikring, som spørger, hvem der har ansvaret.
Når alle adgange ligger hos én person
I mange ejerledede virksomheder er ejeren administrator i mailsystemet, ejer af domænet, kontaktperson hos banken og den eneste, der kender koden til økonomisystemets hovedkonto. Det er bekvemt i hverdagen og sårbart, når noget går galt.
Tre ting bør være på plads:
- Adskilte konti. Din daglige konto, som du læser mail og surfer med, skal være adskilt fra den konto, der har administratorrettigheder. Så rammer et klik på et falsk link ikke hele virksomheden.
- Flerfaktor-login på alt, der tæller. Mail, bank, domæne, økonomisystem og fjernadgang. Det er de konti, en angriber går efter først. Se MFA og sikker kommunikation.
- En nødadgang. En forseglet kuvert eller en adgangskodeboks med de vigtigste adgange, som en navngiven person kan åbne, hvis du er syg eller ikke kan nås. Hvem der må åbne den, og hvornår, står skrevet ned.
Svindel rettet mod ejeren
Svindlere ved, hvem der bestemmer i en ejerledet virksomhed. De skriver i ejerens navn til bogholderen og beder om en hurtig betaling, eller de skriver til ejeren selv som en kendt leverandør med nye kontooplysninger. Når ejeren er den, der godkender alt, er der ingen naturlig kontrol.
Den vigtigste regel er, at ændringer af kontonumre og hasteoverførsler altid bekræftes ad en anden kanal, fx et opkald til et nummer, I selv har, og at reglen også gælder for ejeren. Bogholderen skal have lov, og gerne pligt, til at ringe tilbage til dig, før en usædvanlig betaling går igennem. Mere om reglerne for betalinger står i direktørsvindel og betalinger.
Viden, der kun findes i ét hoved
Ejeren ved, hvorfor serveren står, hvor den står, hvilken leverandør der kan ringes til en søndag, og at backupen af tegningsarkivet skal startes manuelt. Ingen andre ved det.
Skriv det ned, eller få nogen til at interviewe dig og skrive det ned. Et overblik over systemer, leverandører og adgange på få sider er grundlaget for alt det andet, også for en beredskabsplan, der virker, når du ikke selv er til stede. Hvordan overblikket over leverandørerne kan se ud, står i leverandøroverblik.
Hvem skal se dig over skulderen?
Uden bestyrelse mangler ejerlederen en, der spørger. Det kan være en revisor, en rådgiver eller en ekstern CISO, som forbereder beslutningerne og siger fra, når noget ikke holder. Pointen er, at nogen andre end dig vurderer, om sikkerheden hænger sammen, og skriver det ned til dig. Opretter du en bestyrelse eller et rådgivende udvalg, kan cybersikkerhed være et fast punkt fra starten.
Om IT-ledelsen som helhed skal ligge hos dig selv, hos en ekstern IT-chef på deltid eller hos en anden model, er et valg, der er beskrevet for ejerledere på ekstern-it-ledelse.dk. Her handler det kun om sikkerhedsansvaret.
Det skal I lade være med
- At bruge administratorkontoen til daglig mail. Bliver den overtaget, får angriberen nøglerne til det hele.
- At undtage dig selv fra reglerne for betalinger. Svindlerne udnytter netop, at ejeren kan gå uden om dem.
- At have nødadgangen i hovedet. Den skal ligge et sted, hvor en navngiven person kan finde den.
- At godkende din egen plan uden at nogen har vurderet den. Et tilsyn kræver to par øjne.
- At udskyde kurset, fordi du kender virksomheden. Kurset handler om risici, du måske ikke har set.
Det skal I kræve af den eksterne
- ☐ En gennemgang af dine egne adgange og en plan for at skille drift, administration og godkendelse ad.
- ☐ Et skriftligt grundlag, du kan godkende, med de risici, der bør have din opmærksomhed.
- ☐ Et forslag til nødadgang med navngiven person og regler for brug.
- ☐ Regler for betalinger, som også gælder dig.
- ☐ En vurdering, som hverken leverandører eller provision påvirker, og som siger fra over for dig, når det er nødvendigt.
Første skridt
Lav en liste over de konti, kun du har adgang til, og marker dem, der ville stoppe virksomheden, hvis du ikke kunne logge ind i en uge. Den liste er grundlaget for nødadgangen og den første samtale med den, der skal hjælpe dig. Hvad loven i øvrigt pålægger dig som ledelse, finder du under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3, nr. 20, om ledelsesorganet i selskaber med alene en direktion og § 7, stk. 1 og 2, om godkendelse, tilsyn og kurser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan ledelsen uddelegere NIS2-ansvaret? · Beredskabsplan for ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
