De to love bygger oven på hinanden. Allerede efter selskabsloven skal bestyrelsen have en forsvarlig organisation på plads og holde øje med, at risici styres og kontrolleres. Cybersikkerhed er en af de risici, det omfatter. NIS2-loven gør for de omfattede virksomheder pligterne mere konkrete med krav om godkendelse, tilsyn og kurser. For virksomheder uden for NIS2 gælder selskabsloven fortsat, så spørgsmålet om ledelsens styring af IT-risici forsvinder ikke, fordi virksomheden ikke er omfattet. Gennemgangen er forenklet og er ikke juridisk rådgivning.
Selskabslovens udgangspunkt
Selskabsloven gælder aktie- og anpartsselskaber. Den gældende udgave er lovbekendtgørelse nr. 331 af 20. marts 2025. Efter § 111 vælger selskabet mellem en struktur med bestyrelse og direktion og en struktur med direktion og eventuelt tilsynsråd.
§ 115 giver bestyrelsen i selskaber med bestyrelse ansvaret for den overordnede og strategiske retning og for en forsvarlig organisation. Blandt de punkter, bestyrelsen skal påse, nævner § 115, nr. 2, procedurer for risikostyring og interne kontroller. Direktionen står for den daglige ledelse efter § 117, stk. 1, og skal følge bestyrelsens retningslinjer. I selskaber, der kun har en direktion, varetager direktionen efter § 117, stk. 2, både den overordnede og den daglige ledelse og skal selv sikre en forsvarlig organisation.
Bestemmelserne nævner ikke IT direkte. Et selskab, hvis drift, økonomi og kundeforhold afhænger af IT-systemer, kan vanskeligt have forsvarlige procedurer for risikostyring uden at forholde sig til de systemer.
Sådan bygger NIS2 videre
NIS2-loven definerer i § 3, nr. 20, ledelsesorganet med direkte henvisning til selskabsformen. For selskaber efter selskabsloven er det bestyrelsen, hvis der både er bestyrelse og direktion, direktionen, hvis der alene er en direktion, og direktionen i selskaber med tilsynsråd. SAMSIK skriver i vejledningen om ledelsens rolle, at definitionen svarer til “det centrale ledelsesorgan” i selskabslovens § 5, nr. 4. For erhvervsdrivende virksomheder uden for selskabsloven, fx interessentskaber, andelsselskaber og erhvervsdrivende fonde og foreninger, henviser definitionen til lov om visse erhvervsdrivende virksomheder.
SAMSIK skriver også, at ledelsens ansvar for cybersikkerheden skal ses i forlængelse af bestyrelsens opgaver med risikostyring efter selskabslovens § 115, og at det kan sammenlignes med ledelsens øvrige arbejde med finansielle og ikkefinansielle risici. NIS2-loven tilføjer så konkrete pligter i § 7: ledelsesorganet skal godkende foranstaltningerne, føre tilsyn med dem og deltage i kurser. Hvem ledelsesorganet er i jeres tilfælde, står i Hvem er ledelsesorganet efter NIS2-loven?.
Ansvar og sanktioner i hver sin lov
Selskabslovens § 361 fastslår, at medlemmer af ledelsen, der forsætligt eller uagtsomt påfører selskabet, kapitalejere eller tredjemand skade, skal erstatte den. Det er den almindelige ansvarsregel, og den gælder uanset NIS2.
NIS2-loven har sine egne håndhævelsesmidler. Over for væsentlige enheder kan myndigheden som sidste udvej midlertidigt forbyde en person på direktørniveau at udøve ledelsesfunktioner, jf. § 23, stk. 1, nr. 2. SAMSIKs vejledning understreger, at den ikke beskriver ansvarsnormen i dansk ret, som følger af selskabsretten og andre kilder. De to spor er gennemgået i Personligt ansvar for direktører og bestyrelse efter NIS2.
Virksomheder uden for NIS2
Mange mindre virksomheder er ikke omfattet af NIS2-loven. For dem er selskabslovens krav om forsvarlig organisation og risikostyring stadig udgangspunktet. Det giver god mening at bruge NIS2-lovens struktur som skabelon alligevel: en risikovurdering, foranstaltninger, som ledelsen tager stilling til, og en fast opfølgning. Strukturen er lovgivers bud på, hvad styring af cybersikkerhedsrisici som minimum bør omfatte.
Det gælder især for underleverandører. En kunde, der selv er omfattet, skal efter § 6, stk. 1, nr. 4, håndtere sikkerheden i forholdet til sine direkte leverandører og vil ofte skrive krav ind i kontrakten. Hvordan ledelsen kan omsætte det til en strategi, står i Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling.
Hvad det betyder i bestyrelseslokalet
For bestyrelsen i en virksomhed med 60 ansatte betyder sammenhængen mellem de to love, at cybersikkerhed hører hjemme på samme dagsorden som de øvrige risici. Bestyrelsen skal have den rapportering, der gør det muligt at påse, at risikostyringen fungerer, og den skal kunne se, hvordan direktionen følger op. Hvordan punktet kan bygges op, står på Cybersikkerhed i bestyrelseslokalet.
Det skal I lade være med
- At antage, at virksomheder uden for NIS2 kan se bort fra IT-risici. Kravet om en forsvarlig organisation gælder alle kapitalselskaber.
- At behandle NIS2 som et IT-projekt. Lovens pligter ligger hos ledelsesorganet.
- At lade risikostyringen af IT leve sit eget liv. Den bør indgå i den samlede rapportering til bestyrelsen.
- At blande de to ansvarsspor sammen. NIS2-sanktioner og erstatningsansvar følger hver sine regler.
- At undlade juridisk bistand i konkrete ansvarsspørgsmål. Bestemmelserne kræver vurdering i den enkelte sag.
Det skal I kræve af den eksterne
- ☐ En risikorapportering, der kan indgå i bestyrelsens samlede risikostyring.
- ☐ Klar henvisning til, om et krav følger af NIS2-loven, selskabsloven eller en kundekontrakt.
- ☐ Et forslag til, hvor ofte bestyrelsen skal have punktet på dagsordenen.
- ☐ Kendskab til forskellen på bestyrelsens og direktionens roller i jeres selskabsform.
- ☐ Besked, når et spørgsmål kræver en advokat eller revisor.
Ledelsens samlede pligter efter NIS2 er beskrevet på NIS2 og ledelsens ansvar. Næste skridt er at se på, hvordan IT-risici i dag indgår i bestyrelsens rapportering om risikostyring, og om det er nok til at påse, at procedurerne virker.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 5, nr. 4 (det centrale ledelsesorgan), § 111 (ledelsesstrukturer), § 115 (bestyrelsens opgaver, herunder risikostyring og interne kontroller), § 117 (direktionen), § 361 (erstatningsansvar).
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 20 (ledelsesorganet), § 6, stk. 1, nr. 4 (forsyningskædesikkerhed), § 7 (ledelsesorganets pligter), § 23 (midlertidigt forbud).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnit 1 om ledelsesbegrebet og afsnit 3 om sammenhængen med selskabslovens § 115.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Cybersikkerhed som fast punkt på bestyrelsesmødet · Hvem er ledelsesorganet efter NIS2-loven?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
