Ledelsesorganet er som udgangspunkt bestyrelsen, hvis virksomheden har både en bestyrelse og en direktion, og direktionen, hvis der kun er en direktion. Det følger af definitionen i NIS2-loven § 3, nr. 20, som knytter begrebet til selskabsformen. For offentlige myndigheder er det den øverste administrative ledelse. Organet godkender virksomhedens sikkerhedsforanstaltninger og holder øje med gennemførelsen, og medlemmerne skal på relevante kurser. Ansvaret er fælles for hele organet, også når arbejdet er fordelt.
Hvorfor det er vigtigt at vide
NIS2-loven nævner hverken IT-chefen, den sikkerhedsansvarlige eller en CISO, men retter pligterne mod ledelsesorganet. Organet godkender efter § 7, stk. 1, og det er dets medlemmer, der efter § 7, stk. 2, skal deltage i kurser om styring af cybersikkerhedsrisici. Hvis virksomheden er i tvivl om, hvem ledelsesorganet er, risikerer den, at godkendelsen sker det forkerte sted, eller at de forkerte personer bliver uddannet.
Spørgsmålet er derfor det første, en NIS2-omfattet virksomhed bør afklare, før arbejdet med foranstaltningerne går i gang. Lovens øvrige krav til ledelsen er samlet under NIS2 og ledelsens ansvar.
Aktie- og anpartsselskaber
For selskaber omfattet af selskabsloven er reglen i § 3, nr. 20, litra a:
- Bestyrelse og direktion · ledelsesorganet er bestyrelsen.
- Kun direktion · ledelsesorganet er direktionen.
- Direktion og tilsynsråd · ledelsesorganet er direktionen.
For den typiske danske virksomhed med en bestyrelse betyder det, at det er bestyrelsen, der godkender og fører tilsyn. Direktionen forbereder og gennemfører i praksis, men godkendelsen ligger i bestyrelseslokalet. I et anpartsselskab uden bestyrelse er det direktøren eller direktørerne selv.
Andre virksomhedsformer
For virksomheder omfattet af lov om visse erhvervsdrivende virksomheder gælder litra b. Styrelsen for Samfundssikkerhed nævner i sin vejledning bl.a. enkeltmandsvirksomheder, interessentskaber, kommanditselskaber, andelsselskaber og fonde eller foreninger med erhvervsmæssig aktivitet. Her er ledelsesorganet bestyrelsen, hvis der både er en bestyrelse og en direktion, og direktionen, hvis der kun er en direktion. Har virksomheden hverken det ene eller det andet, er det det organ, der i praksis har en bestyrelses eller en direktions kompetence.
Vejledningen lægger op til, at den enkelte virksomhed selv vurderer, hvilken lov dens konstruktion hører under. Er I i tvivl, er det et spørgsmål til jeres advokat eller revisor. Svaret bør skrives ned, så det er dokumenteret, hvem der godkender, og hvorfor.
Offentlige myndigheder
For offentlige myndigheder er ledelsesorganet den øverste administrative ledelse, jf. litra c. Ifølge vejledningen er det typisk direktionen, i regioner koncerndirektionen og i kommuner direktionen eller tilsvarende. Myndighederne har deres egne organisationsforhold, og her gælder vejledningens eksempler som udgangspunkt.
Det kollektive ansvar
Styrelsen for Samfundssikkerhed beskriver i sin vejledning om ledelsens rolle, at ledelsesorganet kan lade et udvalg varetage opgaver med styring og kontrol af cybersikkerheden, fx et revisionsudvalg eller et særligt sikkerhedsudvalg. Det samlede ledelsesorgan har dog fortsat ansvaret i fællesskab og bør holde øje med, at udvalget løser opgaverne.
I praksis betyder det, at et bestyrelsesmedlem ikke kan henvise til, at sikkerhed var en kollegas område. Hele bestyrelsen skal kunne stå inde for godkendelsen og tilsynet. Vejledningen peger også på, at ledelsesorganet som helhed skal have de fornødne kompetencer, hvilket hænger sammen med kravet om kurser. Hvad kurserne bør indeholde, står i NIS2-uddannelse af ledelsen.
Direktionens rolle, når bestyrelsen er ledelsesorganet
Selv om bestyrelsen er ledelsesorganet, har direktionen stadig en central rolle. Det er direktionen, der får sikkerhedsarbejdet udført, giver bestyrelsen det materiale, den har brug for, og fører beslutningerne ud i livet. Loven giver desuden myndighederne mulighed for i særlige tilfælde at reagere over for personer med ledelsesansvar på direktørniveau i væsentlige enheder, jf. § 23. Hvad det betyder personligt, er uddybet i Personligt ansvar for direktører og bestyrelse.
En ekstern CISO arbejder typisk med direktionen i hverdagen og forelægger sager for bestyrelsen efter en aftalt rytme. Rollen kan forberede godkendelsen og tilsynet, men kan ikke træde i stedet for ledelsesorganet. Se Kan ledelsen uddelegere NIS2-arbejdet til en CISO?
Når ledelsen skifter
Ledelsesorganet er ikke en fast gruppe personer. Nye bestyrelsesmedlemmer bliver valgt, og direktører bliver udskiftet. Kravet om kurser i § 7, stk. 2, gælder medlemmerne af organet, og et nyt medlem bør derfor have en plan for sin uddannelse fra starten. Tidligere godkendelser af foranstaltningerne bortfalder ikke, fordi sammensætningen ændres, men et nyt medlem skal kunne stå inde for dem. En kort introduktion til virksomhedens risici, plan og seneste status er derfor et naturligt punkt, når en ny person træder ind i bestyrelsen eller direktionen.
Det skal I lade være med
- At lade direktøren godkende alene, når I har en bestyrelse · godkendelsen hører hjemme hos bestyrelsen.
- At uddanne kun den, der har IT som område · kravet om kurser gælder alle medlemmer af ledelsesorganet.
- At gemme sikkerheden i et udvalg · udvalget kan forberede, men hele organet har ansvaret.
- At gætte på selskabsformens betydning · få det afklaret, hvis jeres konstruktion er usædvanlig.
Det skal I kræve af den eksterne
- ☐ En afklaring af, hvem der er ledelsesorganet hos jer, med henvisning til loven.
- ☐ Materiale, der gør det muligt for hele ledelsesorganet at godkende foranstaltningerne.
- ☐ En plan for, hvordan tilsynet dokumenteres i referater.
- ☐ Forslag til, hvordan medlemmerne opfylder kravet om kurser.
- ☐ Klar besked om, hvilke spørgsmål der kræver juridisk vurdering.
Find jeres seneste udskrift fra CVR, og se, hvem der er registreret som bestyrelse og direktion. Skriv ned, hvem der dermed er ledelsesorganet efter NIS2-loven, og sæt punktet på næste bestyrelsesmøde. Gennemgangen af loven her er forenklet og erstatter ikke juridisk rådgivning. Hvordan godkendelse og tilsyn kan foregå, beskrives i Ledelsen skal godkende og føre tilsyn, og bestyrelsens arbejde med sikkerhed under bestyrelsen.
Kilder
- NIS2-loven (LOV nr. 434 af 06/05/2025): definitionen i § 3, nr. 20, ledelsesorganets pligter i § 7 og myndighedernes mulighed i § 23 for at gribe ind over for personer med ledelsesansvar.
- Styrelsen for Samfundssikkerhed: Vejledning om ledelsens rolle og opgaver, maj 2025: ledelsesorganet efter virksomhedsform, udvalg og det kollektive ansvar.
- Direktiv (EU) 2022/2555 på eur-lex.europa.eu: ledelsesorganernes forpligtelser i artikel 20, som de danske regler bygger på.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan ledelsen uddelegere NIS2-arbejdet? · Kræver NIS2, at vi har en CISO?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
