NIS2 og medarbejdernes kurser: hvad betyder det, at ledelsen skal tilskynde?

At ledelsen skal tilskynde betyder, at den skal tage aktivt stilling til, at medarbejderne tilbydes kurser i cybersikkerhed svarende til dem, ledelsen selv deltager i, og bakke op om, at de bliver gennemført. Pligten står i samme bestemmelse som ledelsens egen kursuspligt, men den er formuleret svagere. Ledelsens medlemmer skal selv deltage. For de øvrige ansatte skal ledelsen tilskynde til, at kurserne tilbydes. Indholdet og omfanget følger af virksomhedens uddannelsespolitik efter § 6, stk. 1, nr. 7, som CISO-rollen typisk skriver og ledelsen godkender.

To pligter i samme stykke

Bestemmelsen i NIS2-lovens § 7, stk. 2, består af to led. Ifølge første led har ledelsesorganets medlemmer pligt til selv at følge relevante kurser i styring af cybersikkerhedsrisici. Andet led siger, at de skal tilskynde til, at tilsvarende kurser tilbydes til enhedens øvrige ansatte. Direktivets tilsvarende regel står i artikel 20, stk. 2.

Forskellen er tydelig i ordvalget. Første led er en pligt for den enkelte i ledelsen. Andet led er en pligt til at fremme et tilbud. Ledelsens egen pligt og indholdet af dens kurser er gennemgået i NIS2-uddannelse af ledelsen. Her handler det om andet led.

Hvad SAMSIK lægger vægt på

Styrelsen for Samfundssikkerhed (SAMSIK) går ind i andet led i sin ledelsesvejledning fra maj 2025. Vejledningen kobler pligten til at tilskynde til § 6, stk. 1, nr. 7, som kræver, at virksomheden har en politik for uddannelse af relevante medarbejdere. Ifølge SAMSIK går andet led ikke videre end § 6, stk. 1, nr. 7. Det understreger, at medarbejdernes kompetencer og viden om cybersikkerhed hører under ledelsens ansvar.

For ledelsen betyder koblingen, at andet led løftes gennem uddannelsespolitikken. Når ledelsen godkender politikken, fører tilsyn med, at den gennemføres, og selv viser, at kurserne er vigtige, har den et godt grundlag for at kunne dokumentere, at den har tilskyndet.

Hvad ledelsen konkret kan beslutte

Tilskyndelse kan gøres konkret i nogle få beslutninger, som kan stå i referatet:

1. At godkende uddannelsespolitikken, herunder hvilke roller der skal have hvilken træning.
2. At afsætte tid i arbejdsdagen, så kurserne ikke konkurrerer med opgaverne.
3. At afsætte budget til kurser, der købes ude, eller til den tid, internt tilrettelagte forløb kræver.
4. At bede om status på gennemførelsen med faste mellemrum.
5. At deltage synligt, fx ved at direktøren åbner det årlige forløb eller selv tager det samme grundkursus som alle andre.

SAMSIK nævner i vejledningen om implementering af foranstaltningerne flere former, der kan bruges: generelle kurser i cyber- og informationssikkerhed, workshops om styring af risici, kurser i anerkendte standarder og virksomhedens egne interne kurser og seminarer. Det giver plads til at vælge det, der passer til virksomhedens størrelse.

Hvem skal have hvad

“Tilsvarende kurser” betyder næppe, at lageret skal have det samme kursus som bestyrelsen. Uddannelsespolitikken bør i stedet fastlægge niveauer efter rolle. Et eksempel fra en NIS2-omfattet transportvirksomhed med 90 ansatte:

• Alle ansatte: et grundforløb om de daglige vaner og om, hvordan man melder noget mistænkeligt.
• Disponenter og økonomi: ekstra træning i falske henvendelser om betalinger og ændrede leveringsadresser.
• IT-ansvarlige og superbrugere: træning i virksomhedens procedurer for adgange og opdateringer.
• Mellemledere: hvordan de håndterer sikkerhed i egen afdeling, herunder ved ansættelser og fratrædelser.

Vikarer og konsulenter med adgang til virksomhedens systemer bør også være omfattet, enten gennem virksomhedens eget forløb eller ved, at deres arbejdsgiver dokumenterer tilsvarende træning. Uddannelsespolitikken bør sige, hvilken af de to veje der gælder, og hvem der kontrollerer det.

Hvordan træningen tilrettelægges over året, og hvordan ledelsen ser, om den virker, står i Awareness-træning. De basale vaner, træningen skal understøtte, er beskrevet i Grundlæggende cyberhygiejne.

Dokumentation

Ifølge SAMSIK bør uddannelse og træning ske regelmæssigt og være dokumenteret, og programmet bør opdateres med jævne mellemrum. Dokumentationen behøver ikke være tung. En liste over forløb, målgrupper og deltagelse, opdateret hvert halve år, samt referatet af ledelsens godkendelse af politikken, er et godt udgangspunkt. Status kan placeres i årshjulet for sikkerhed, så den kommer op på et fast tidspunkt. Et beslutningspunkt i referatet kan fx lyde: Bestyrelsen godkendte uddannelsespolitikken i version 1.0, afsatte tid til grundforløbet i første halvår og bad om status på deltagelsen på mødet i september.

Tilsynet hører med. Hvis halvdelen af medarbejderne ikke har gennemført grundforløbet efter et år, skal ledelsen tage stilling til hvorfor og beslutte, hvad der skal ændres. Den løbende opfølgning er en del af ledelsens almindelige tilsyn med foranstaltningerne.

Det skal I lade være med

• At læse “tilskynde” som en frivillig opfordring. Pligten løftes gennem uddannelsespolitikken, som er et krav.
• At give alle ansatte ledelsens kursus. Indholdet skal passe til rollen.
• At sende et link og vente. Tid og opfølgning er en del af tilskyndelsen.
• At glemme vikarer og nye medarbejdere. De har ofte brug for det mest.
• At lade dokumentationen ligge hos kursusleverandøren alene. Virksomheden skal selv kunne vise deltagelsen.

Det skal I kræve af den eksterne

• ☐ Et udkast til uddannelsespolitik med niveauer efter rolle.
• ☐ Et forslag til former og rytme, der passer til virksomhedens størrelse.
• ☐ En opgørelse over deltagelse, som ledelsen kan bruge i sit tilsyn.
• ☐ Et udkast til beslutningspunkt, så referatet viser, hvad ledelsen har besluttet.
• ☐ Henvisning til § 7, stk. 2, og § 6, stk. 1, nr. 7, når kravene beskrives.

Sådan kommer I videre

Find ud af, om virksomheden har en uddannelsespolitik i dag, og hvem der har godkendt den. Mangler den, kan den eksterne CISO skrive et udkast på et par sider, som ledelsen kan godkende sammen med en plan for det første år.

Kilder

• NIS2-loven, lov nr. 434 af 6. maj 2025: § 7, stk. 2 (kurser for ledelsen og tilskyndelse til kurser for de øvrige ansatte), § 6, stk. 1, nr. 7.
• SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnittet om ledelsens rolle i forhold til uddannelse af medarbejdere og koblingen til § 6, stk. 1, nr. 7.
• SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 7.b om cybersikkerhedsuddannelse og eksempler på relevante kurser.
• NIS2-direktivet, (EU) 2022/2555: artikel 20, stk. 2.

Senest gennemgået: november 2026.

Næste skridt

• NIS2 og ledelsens ansvar for cybersikkerhed
• Awareness-træning: hvad ledelsen skal bestille og følge op på

Læs også: NIS2-uddannelse af ledelsen · Sikkerhedsregler for medarbejderne

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT