CISO as a Service

70 13 63 23

NIS2 og ledelsens ansvar for cybersikkerhed

Et bestyrelsesbord set fra den ene ende med en mødemappe ved hver plads og et vindue ud til en havnefront

NIS2-loven placerer ansvaret for cybersikkerhed hos virksomhedens ledelsesorgan. Lovens § 7 giver ledelsesorganet tre opgaver: det godkender virksomhedens sikkerhedsforanstaltninger, det holder tilsyn med gennemførelsen, og medlemmerne deltager i kurser om cyberrisici. Hverken en CISO eller nogen anden titel er nævnt i loven. Kravet er, at ledelsen selv tager stilling på et forsvarligt grundlag, og det grundlag er det, en CISO kan hjælpe med at bygge op.

Siden giver overblikket over pligterne. Teksten er ikke juridisk rådgivning; om jeres virksomhed er omfattet, og hvordan reglerne gælder netop jer, skal vurderes ud fra lovteksten og Styrelsen for Samfundssikkerheds vejledninger.

Hvem ledelsesorganet er

Lovens definition følger selskabsformen. Findes der en bestyrelse ved siden af direktionen, er bestyrelsen ledelsesorgan. Har selskabet alene en direktion, er det direktionen. I en myndighed ligger rollen hos topledelsen i administrationen. Ansvaret er fælles for medlemmerne, så det rækker ikke, at et enkelt bestyrelsesmedlem har sat sig ind i sagen.

I praksis vil direktionen ofte forberede sagerne og have den daglige opfølgning, også hvor bestyrelsen er ledelsesorgan. Det er en god idé at skrive ned, hvem der gør hvad, så tilsynet kan dokumenteres.

Tre pligter i lovens § 7

  • Godkendelse · foranstaltningerne skal være godkendt af ledelsesorganet. Det forudsætter, at ledelsen har fået forelagt en risikovurdering og et forslag, den kan forholde sig til.
  • Tilsyn · ledelsesorganet skal følge med i, om foranstaltningerne faktisk bliver gennemført. Referater fra møderne er den naturlige dokumentation.
  • Kurser · medlemmerne skal deltage i relevante kurser og tilskynde til, at også de øvrige ansatte får tilsvarende uddannelse. Loven fastlægger ikke en bestemt form.

Bestemmelsen gennemfører artikel 20 i NIS2-direktivet, som også fastslår, at ledelsesorganer kan holdes ansvarlige for overtrædelser.

Hvad foranstaltningerne skal dække

Lovens § 6 kræver passende og forholdsmæssige foranstaltninger og nævner en række emner, de som minimum skal omfatte. Blandt dem er politikker for risikoanalyse, håndtering af hændelser, driftskontinuitet med backup og krisestyring, sikkerhed i forsyningskæden, personalesikkerhed og adgangsstyring samt brug af multifaktorautentificering. Listen svarer til direktivets artikel 21.

For ledelsen er pointen, at foranstaltningerne skal stå i forhold til risikoen. Derfor begynder arbejdet med en vurdering af, hvad der står på spil. Hvordan en sådan vurdering bliver til ledelsesbeslutninger, er beskrevet under risikovurdering og sikkerhedsstrategi. Kravene til leverandørerne er samlet under leverandørstyring.

Når myndigheden finder mangler

Loven giver de kompetente myndigheder en række håndhævelsesmuligheder. For væsentlige enheder kan myndigheden efter § 23, når andre påbud ikke har virket, træffe afgørelse om, at den administrerende direktør eller en tilsvarende leder for en periode ikke må varetage ledelsesopgaver i virksomheden. Forbuddet gælder, indtil manglerne er rettet. Bestemmelsen viser, at ansvaret er tænkt personligt. Hvordan reglerne bruges i praksis, bør læses i lovteksten og myndighedens vejledning frem for i omtaler.

Frister og tilsyn

Ledelsen skal kende de frister, loven sætter for registrering, ændringer og underretning, og vide, hvem i virksomheden der holder øje med dem. De er samlet på siden om frister i sikkerhedsarbejdet. Ved en hændelse er det første spørgsmål, hvem der afgør, om den skal underrettes, se Hvem i ledelsen beslutter, at der skal underrettes. Hvad myndigheden må under et tilsyn, og hvad ledelsen bør have klar, står i Tilsyn efter NIS2. Følgerne, når myndigheden griber ind, er beskrevet i Advarsel, påbud eller bindende instruks og i Bøder efter NIS2-loven.

Det forbereder en CISO, og det beslutter ledelsen

En ekstern CISO kan lave risikovurderingen, formulere forslaget til foranstaltninger, lægge planen, følge op på leverandørerne og skrive den status, ledelsen fører tilsyn ud fra. Rollen kan også tilrettelægge kurset for ledelsen, så det handler om virksomhedens egne risici.

Ledelsesorganet skal selv godkende foranstaltningerne, beslutte, hvilke risici der accepteres, afsætte ressourcer og vurdere, om fremdriften er god nok. Den grænse er beskrevet nærmere i artiklen om, hvorvidt ledelsen kan uddelegere arbejdet. Rapporteringen, der understøtter tilsynet, er gennemgået på siden om bestyrelsen, og fordelingen af opgaver i et løbende forløb er beskrevet under forløbet med en ekstern CISO.

Er I usikre på, om virksomheden overhovedet er omfattet, eller leverer I til en, der er, gennemgår nis2-pentest.dk reglerne set fra leverandørens side.

Artikler om NIS2 og ledelsen

Det skal I lade være med

  • At sende hele sagen videre til IT-leverandøren · leverandøren kan levere foranstaltninger, men godkendelsen ligger hos jer.
  • At godkende uden grundlag · en underskrift på en politik, ingen har læst, er svær at forsvare som tilsyn.
  • At lade kurset blive en formalitet · et generelt foredrag giver sjældent ledelsen svar på egne risici.

Det skal I kræve af den eksterne

  • ☐ Et forslag til foranstaltninger, der henviser til risikovurderingen.
  • ☐ En status til hvert ledelsesmøde, som kan indgå i referatet.
  • ☐ Henvisninger til lovtekst og myndighedsvejledning frem for omtaler.
  • ☐ Et klart skel mellem det, CISO’en anbefaler, og det, ledelsen skal beslutte.

Kilder

Senest gennemgået: november 2026.

Flere artikler om NIS2-kravene

Næste skridt

Læs også: Personligt ansvar efter NIS2 · Beredskab og hændelser set fra ledelsen

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT

Mangler I en CISO?

Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Seneste artikler

Fire forskellige klippebrætter og notesblokke, der hænger og ligger hver sit sted i et lille IT-rum

Sikkerhedsopgaverne ligger spredt hos IT‑folkene: hvad betyder det for ledelsen?

4. november 2026

Et tomt skrivebord i en mindre virksomhed med en stol, der er trukket ud, en tændt bordlampe og en lille papkasse med mapper, som nogen er ved at pakke ud

Midlertidig CISO: når rollen står tom, eller opgaven haster

4. november 2026

Et mødelokale gjort klar med ringbind i en række, en kande vand og fire glas, set fra døren

Finanstilsynets IT‑inspektion: det, ledelsen skal have klar

4. november 2026