Kurset skal gøre ledelsen i stand til at vurdere virksomhedens cybersikkerhedsrisici, beslutte foranstaltninger og følge op på dem. Loven fastsætter hverken længde, udbyder eller pensum, så kvaliteten måles på, om deltagerne bagefter kan bruge det i deres egen godkendelse og deres eget tilsyn. Et forløb, der tager udgangspunkt i jeres forretning og jeres risikovurdering, rammer oftest bedre end et generelt foredrag om trusselsbilledet. Deltagelsen skal kunne dokumenteres.
Lovens ordlyd
Efter § 7, stk. 2, i NIS2-loven har hvert medlem af ledelsesorganet i en væsentlig eller vigtig enhed pligt til at følge relevante kurser i, hvordan cybersikkerhedsrisici styres. Samme bestemmelse pålægger dem at tilskynde til, at tilsvarende kurser tilbydes virksomhedens øvrige ansatte. Kravet gennemfører artikel 20, stk. 2, i NIS2-direktivet.
Ordet “relevante” bærer det meste af betydningen. Styrelsen for Samfundssikkerhed skriver i sin vejledning om ledelsens rolle, at der ikke er et specifikt krav til form og indhold, men at uddannelsen skal ses i lyset af ledelsens opgaver efter § 7, stk. 1. Med andre ord skal kurset støtte godkendelsen og tilsynet, som er beskrevet i Ledelsen skal godkende og føre tilsyn.
Kollektivet skal have kompetencerne
Vejledningen fastslår, at det ikke er et krav, at alle eller et bestemt antal medlemmer har gennemført kurser. Ledelsesorganet skal som kollektiv have de kompetencer, der skal til for at styre cybersikkerheden. Det åbner for at fordele indsatsen. I en bestyrelse på fem kan ét medlem tage en grundig uddannelse i styring af cybersikkerhedsrisici, mens resten følger et kortere forløb, der er tilrettelagt for virksomheden.
Fordelingen må ikke føre til, at ét medlem bliver den eneste, der forstår emnet. Bestyrelsen træffer beslutningen samlet, og de øvrige medlemmer skal kunne stille kvalificerede spørgsmål til det, der forelægges. Om det er bestyrelsen eller direktionen, der udgør organet hos jer, er forklaret i Hvem er ledelsesorganet efter NIS2-loven?.
Fire kendetegn ved et brugbart forløb
SAMSIK nævner generelle kurser, ledelseskurser og workshops, certificeringer i anerkendte standarder og interne seminarer målrettet ledelsen som eksempler. Uanset form har de forløb, der virker, nogle fælles træk:
- De bruger jeres egne tal. Deltagerne arbejder med virksomhedens risikovurdering, de vigtigste systemer og de leverandører, driften afhænger af.
- De træner beslutninger. En del af tiden går med at tage stilling til et konkret forslag, fx om en restrisiko kan accepteres.
- De holder jura på et brugbart niveau. Ledelsen skal kende § 6, § 7 og fristerne for underretning i § 13, mens de juridiske detaljer kan blive hos rådgiverne.
- De slutter med en opgave. Fx at godkende den næste version af foranstaltningerne eller at fastlægge rytmen for tilsynet.
En webshop, der lever af betalinger døgnet rundt, har andre risici end produktionsvirksomheden med en fabrik, der står stille, når styringssystemet er nede. Et forløb, der passer til den ene, passer sjældent uændret til den anden.
En skrivebordsøvelse, hvor ledelsen gennemgår en tænkt hændelse trin for trin, er en effektiv måde at lære på. Deltagerne opdager selv, hvor beslutningsvejene er uklare, og hvem der mangler på kontaktlisten. Øvelsen kan tælle som en del af uddannelsen, når formål, indhold og deltagere er beskrevet. Forløbet er beskrevet i Beredskabsøvelse for ledelsen.
Dokumentation af deltagelsen
Vejledningen skriver, at uddannelsesaktiviteterne skal kunne dokumenteres, fx med kursusbevis eller en bekræftelse på deltagelse. For et internt forløb bør dokumentationen også vise dato, varighed, emner og hvem der deltog. En simpel oversigt pr. medlem af ledelsesorganet, der opdateres ved nyvalg, er nok til at svare, hvis myndigheden spørger.
Nye medlemmer er det svage punkt. Når bestyrelsen udskiftes på generalforsamlingen, bør introduktionen af de nye indeholde et kursus inden for en aftalt frist.
Medarbejderne
Ledelsens pligt til at tilskynde til kurser for de ansatte hænger sammen med § 6, stk. 1, nr. 7, om grundlæggende cyberhygiejne og cybersikkerhedsuddannelse. SAMSIK beskriver det som en understregning af, at medarbejdernes viden er ledelsens ansvar, og ikke som et krav ud over § 6. I praksis betyder det, at ledelsen bør godkende en plan for uddannelse af medarbejderne, tilpasset deres roller.
Det skal I lade være med
- At købe det billigste e-læringsmodul og sætte flueben. Det dokumenterer deltagelse, men sjældent kompetence.
- At sende én person og lade resten af bestyrelsen stå over. Kollektivet skal kunne træffe beslutningen.
- At lade leverandøren af jeres sikkerhedsprodukter stå for kurset. Indholdet risikerer at pege mod deres løsninger.
- At glemme dokumentationen. Et godt forløb uden kursusbevis eller deltagerliste er svært at vise frem.
- At tage kurset én gang og aldrig igen. Trusler, systemer og ledelse skifter.
Det skal I kræve af den eksterne
- ☐ Et forslag til forløb, der bygger på jeres risikovurdering og ikke på et standardoplæg.
- ☐ En plan for, hvem i ledelsen der skal have hvilket niveau.
- ☐ Materiale, der kan bruges igen, når nye medlemmer kommer til.
- ☐ Deltagerbevis eller referat med emner, varighed og deltagere.
- ☐ Et forslag til uddannelse af medarbejderne, som ledelsen kan godkende.
Kravet om kurser er én af flere pligter, der er samlet på NIS2 og ledelsens ansvar. Næste skridt er at lave en liste over ledelsesorganets medlemmer, notere hvad hver enkelt har gennemført, og beslutte, hvad der mangler inden næste godkendelse.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 7, stk. 2 (kurser for ledelsesorganet og tilskyndelse til kurser for ansatte), § 6, stk. 1, nr. 7 (cyberhygiejne og uddannelse).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnit 5 og 6 om kompetencer, kursusformer, dokumentation og medarbejdernes uddannelse.
- NIS2-direktivet, (EU) 2022/2555: artikel 20, stk. 2, om uddannelse af ledelsesorganernes medlemmer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Personligt ansvar for direktører og bestyrelse · Risikovurdering, som ledelsen kan træffe beslutninger på
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
