Konkret betyder det to ting. Ledelsesorganet skal tage en dokumenteret beslutning om, hvilke sikkerhedsforanstaltninger virksomheden har, og hvornår beskyttelsen er god nok. Bagefter skal det samme organ følge op med faste mellemrum og se efter, om foranstaltningerne bliver gennemført og virker. Begge dele kræver et skriftligt grundlag og et referat, der viser, hvad der blev besluttet. Forberedelsen kan ligge hos en CISO eller en anden sikkerhedsansvarlig, mens selve beslutningen bliver hos ledelsen.
Det står i § 7
NIS2-loven er lov nr. 434 af 6. maj 2025. Efter § 7, stk. 1, skal de foranstaltninger, som en væsentlig eller vigtig enhed træffer efter § 6, være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med, at de bliver gennemført. Definitionen står i § 3, nr. 20, og peger på bestyrelsen, når et selskab har både en bestyrelse og en direktion. Den nærmere gennemgang står i Hvem er ledelsesorganet efter NIS2-loven?.
Styrelsen for Samfundssikkerhed (SAMSIK) uddyber kravet i sin vejledning om ledelsens rolle og opgaver fra maj 2025. Ifølge vejledningen skal ledelsen på et overordnet og strategisk niveau beslutte, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig. Tilsynet skal ifølge samme vejledning vise, at tiltagene realiseres og har den ønskede virkning i forhold til de risici, der er fundet.
Hvad der skal ligge på bordet før godkendelsen
En godkendelse uden grundlag er en underskrift på noget, ingen har læst. Før mødet bør ledelsen have fået et materiale, der kan læses på en halv time og indeholder:
- En risikovurdering med de vigtigste trusler mod forretningen og deres konsekvens, se Risikovurdering, som ledelsen kan træffe beslutninger på.
- Status på de ti minimumsområder i § 6, stk. 1, fx håndtering af hændelser, driftskontinuitet, forsyningskædesikkerhed, adgangskontrol og multifaktorautentificering.
- De foreslåede foranstaltninger med ansvarlig, tidsplan og forventet effekt.
- De risici, der står tilbage, og forslaget til, om de kan accepteres.
- Ressourcebehovet, så beslutningen også tager stilling til tid og penge.
Hos en maskinfabrik med omkring 40 medarbejdere og en håndfuld leverandører vil materialet ofte fylde fem til ti sider plus bilag. Det vigtige er, at hver foranstaltning kan spores tilbage til en risiko, og at ledelsen kan se, hvad den siger ja til.
Sådan kan beslutningen se ud i referatet
Referatet er det spor, virksomheden kan vise frem, hvis tilsynsmyndigheden spørger. Det bør stå klart, hvilket materiale der blev forelagt, hvilken version, hvad ledelsen besluttede, hvilke ændringer der blev bedt om, og hvornår der følges op. Et kort punkt i stil med “Bestyrelsen godkendte foranstaltningerne i bilag 3, version 1.2, med den ændring, at backup-testen fremrykkes til første kvartal” siger mere end en lang gengivelse af drøftelsen.
Afviser ledelsen et forslag eller udsætter en foranstaltning, skal det også stå i referatet. Det er en lovlig ledelsesbeslutning at prioritere anderledes, men den bør være truffet bevidst og med kendskab til den risiko, der følger med.
Tilsynet er en fast rytme
Tilsyn betyder, at ledelsen jævnligt får forelagt, hvordan det går, og reagerer på det. SAMSIK nævner periodiske ledelsesrapporter med status på mål, handleplaner og udvalgte nøgletal, intern revision og ekstern revision af NIS2-kravene som mulige former. Vejledningens eksempel er en direktion, der får rapportering hvert halve år og her tager stilling til justeringer.
For de fleste mindre virksomheder giver det mening at lægge tilsynet ind i de møder, der allerede holdes. Et fast punkt hvert kvartal med en side om fremdrift, nye risici, hændelser og beslutninger, der venter, rækker langt. Hvordan siden kan bygges op, står i Sikkerhedsrapport til bestyrelsen, og placeringen over året i Årshjul for sikkerhedsarbejdet i ledelsen.
Når tilsynet viser, at noget halter
Tilsynet giver først værdi, når afvigelser fører til en handling. Viser rapporten, at multifaktorautentificering stadig mangler på fjernadgangen et halvt år efter godkendelsen, skal ledelsen tage stilling til, om fristen skal flyttes, om der skal tilføres ressourcer, eller om risikoen skal accepteres midlertidigt. Efter § 6, stk. 2, skal en enhed, der ikke opfylder kravene, uden unødigt ophold træffe de nødvendige korrigerende foranstaltninger. Tilsynet er ledelsens måde at opdage, at det er nødvendigt.
En god tommelfingerregel er, at hvert tilsynspunkt ender med mindst én af tre konklusioner: fortsæt som planlagt, ret kursen, eller accepter afvigelsen med en ny dato for opfølgning.
Det skal I lade være med
- At godkende en standardpakke fra leverandøren. Foranstaltningerne skal passe til jeres risici, og det kan kun vurderes ud fra jeres egen risikovurdering.
- At skrive “IT-sikkerhed drøftet” i referatet. Det dokumenterer hverken en godkendelse eller et tilsyn.
- At behandle sikkerheden én gang om året. Et årligt punkt giver ingen chance for at opdage forsinkelser i tide.
- At lade CISO godkende sine egne forslag. Den, der forbereder, kan ikke også være den, der beslutter.
- At glemme de udsatte punkter. En risiko, der blev accepteret for et år siden, skal op igen.
Det skal I kræve af den eksterne
- ☐ Et beslutningsoplæg, hvor hver foranstaltning kan spores til en risiko og til et område i § 6, stk. 1.
- ☐ Et udkast til referatets beslutningspunkt, så ordlyden er præcis.
- ☐ En fast rapport til tilsynsmøderne med fremdrift, afvigelser og forslag.
- ☐ Et register over de risici, ledelsen har accepteret, og hvornår hver enkelt tages op igen.
- ☐ Henvisning til lovens paragraffer, når et krav beskrives, så ledelsen selv kan slå op.
Hvordan godkendelse og tilsyn hænger sammen med resten af ledelsens pligter, er samlet på NIS2 og ledelsens ansvar. Næste skridt er at finde det seneste referat, hvor sikkerhed var på dagsordenen, og se, om det ville kunne vise en godkendelse og et tilsyn.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 20 (ledelsesorganet), § 6, stk. 1 og 2 (minimumsområder og korrigerende foranstaltninger), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnit 3 om godkendelse og afsnit 4 om tilsyn, herunder eksemplet med halvårlig ledelsesrapportering.
- NIS2-direktivet, (EU) 2022/2555: artikel 20 om ledelsesorganernes godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Nøgletal for sikkerhed, som ledelsen kan følge · Hvem må acceptere en risiko?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
