Når en ny ejer efter overtagelsen beder om fast rapportering om cybersikkerhed og indfører sine egne minimumskrav, bør virksomheden bygge kravene ind i den rapport, bestyrelsen allerede får. Ejerens ønsker kortlægges i forhold til de nøgletal og afsnit, der findes i forvejen, og det, der mangler, tilføjes. Resultatet er én rapport på ét datagrundlag, hvor ejeren eventuelt får et tillæg med sine særlige tal. To parallelle rapporter fører næsten altid til tal, der ikke stemmer, og til, at ledelsen bruger tid på at forklare forskellen.
Hvad en ny ejer kan bede om
Ejere har forskellige behov. En kapitalfond med mange porteføljevirksomheder kan have brug for ens tal fra alle selskaber, så de kan sammenlignes. En industriel køber vil måske have virksomheden ind i sin egen sikkerhedsstyring. En familie, der har købt virksomheden, kan nøjes med en årlig gennemgang.
Kravene falder typisk i fire grupper:
- Fast rapportering. En rapport med en bestemt frekvens og i et bestemt format.
- Minimumskrav. En liste over foranstaltninger, ejeren forventer i alle sine selskaber.
- Underretning om hændelser. Hvornår og hvordan ejeren skal have besked, når noget sker.
- Bekræftelse. En årlig erklæring fra direktionen om, at kravene er opfyldt, eller en liste over afvigelser.
Nogle ejere sender en skabelon, andre beskriver kun, hvad de vil vide. Uanset formen er det første skridt at få kravene på skrift, så der ikke opstår tvivl om, hvad der er aftalt. Spørg samtidig, hvem hos ejeren der læser rapporten, og hvad de bruger den til. En ejer, der vil sammenligne selskaber, har brug for andre tal end en ejer, der vil vide, om der er risici, som kan påvirke værdien af investeringen.
Kortlægning mod den rapport, I har
Læg ejerens krav ved siden af den rapport, bestyrelsen får i dag. For hvert krav kan der stå et af tre svar: det findes allerede, det findes i en anden form, eller det mangler. Det, der findes i en anden form, kræver en beslutning om, hvem der tilpasser sig. Ofte er det enklest at bruge ejerens definition, hvis den ikke er dårligere end jeres egen, så tallene kan sammenlignes på tværs af ejerens selskaber.
Grundformen er beskrevet i én side til bestyrelsen, og valget af nøgletal i nøgletal for sikkerhed. Ejerens krav ændrer sjældent selve formen, og det er en fordel, fordi bestyrelsen kender den. De tilføjer typisk nogle tal og et afsnit om afvigelser fra minimumskravene.
Minimumskravene og afvigelserne
Ejerens minimumskrav skal sammenholdes med virksomhedens egen risikovurdering. Nogle krav vil allerede være opfyldt. Andre vil kræve investeringer eller ændrede arbejdsgange. Og enkelte passer måske dårligt til en virksomhed af jeres størrelse eller branche.
Afvigelserne bør behandles som andre risici. De beskrives, vurderes og forelægges ledelsen med en plan eller med en begrundelse for, hvorfor kravet ikke skal opfyldes. Hvem der må acceptere en risiko, fremgår af artiklen om accept af risici. Accepterer virksomhedens egen ledelse en afvigelse fra ejerens krav, bør ejeren have det at vide gennem rapporten, så accepten ikke kommer bag på nogen ved en hændelse.
Underretning af ejeren ved hændelser
Ejeren vil typisk gerne høre om alvorlige hændelser hurtigt. Det er rimeligt, men det skal passe ind i virksomhedens beredskabsplan. Aftal, hvilke hændelser ejeren skal underrettes om, hvem der giver besked, og hvordan. Kriterierne kan med fordel ligge tæt op ad dem, virksomheden i forvejen bruger til at vurdere, om en hændelse er væsentlig.
Er virksomheden omfattet af NIS2-loven, gælder fristerne for underretning af myndigheden uanset ejerens ønsker. Underretningen til ejeren må derfor ikke forsinke underretningen til myndigheden, og beredskabsplanen bør vise rækkefølgen. Hvad ledelsen beslutter, mens hændelsen står på, er beskrevet under ledelsens første timer.
Rytmen og årshjulet
Ejerens rapporteringskalender følger måske ejerens eget regnskabsår og bestyrelsesmøder. Virksomhedens bestyrelse mødes efter sin egen plan. Læg de to kalendere sammen, og vælg datoer for dataindsamlingen, så samme tal kan bruges begge steder. Årshjulet for sikkerhedsarbejdet kan få et nyt punkt for ejerrapporten. Se Årshjul for sikkerhedsarbejdet i ledelsen.
Tænk på et softwarehus med 35 ansatte, som en kapitalfond har købt. Fonden sender en skabelon med tolv nøgletal og femten minimumskrav. Kortlægningen viser, at otte af nøgletallene allerede indgår i bestyrelsesrapporten, to kan beregnes ud fra eksisterende data, og to kræver nye opgørelser. Af minimumskravene er elleve opfyldt, tre kræver en plan, og ét om en bestemt type overvågning vurderes at være ude af proportion med risikoen. Bestyrelsen godkender planen og afvigelsen, og fonden får begge dele i første kvartalsrapport.
Hvem der forbereder, og hvem der sender
Rapporten til ejeren er direktionens. Den, der leder sikkerhedsarbejdet, forbereder tallene og teksten, men det er direktionen, der står inde for indholdet og sender det. Har virksomheden en ekstern CISO, bør det være aftalt, at rollen forbereder ejerrapporten som en del af den faste rapportering, og at ejeren kan stille spørgsmål til den gennem direktionen. Hvor rollen placeres i forhold til direktionen, er beskrevet i CISO-rollens placering.
Det skal I lade være med
- At lave en separat rapport til ejeren på andre tal · to sandheder skaber mistillid.
- At love at opfylde alle minimumskrav med det samme · forelæg en plan og afvigelserne.
- At lade underretningen til ejeren gå forud for myndighedens frister · beredskabsplanen skal vise rækkefølgen.
- At sende detaljer om sårbarheder ud af huset uden at overveje det · aftal detaljeniveauet.
- At lade den eksterne CISO sende direkte til ejeren · rapporten er direktionens.
Det skal I kræve af den eksterne
- ☐ En kortlægning af ejerens krav mod den nuværende rapport.
- ☐ Et forslag til én rapport med et eventuelt tillæg til ejeren.
- ☐ En vurdering af ejerens minimumskrav med plan og begrundede afvigelser.
- ☐ Kriterier for, hvornår ejeren underrettes om hændelser.
- ☐ En samlet kalender for dataindsamling og rapportering.
Før første ejerrapport
Bed ejeren om kravene på skrift, og sæt kortlægningen på dagsordenen ved næste bestyrelsesmøde. Hvordan bestyrelsen i det hele taget arbejder med sikkerhed, står under Cybersikkerhed i bestyrelseslokalet.
Senest gennemgået: november 2026.
Næste skridt
- Cybersikkerhed som fast punkt på bestyrelsesmødet
- Spørgsmål, direktøren bør stille sin CISO hvert kvartal
Læs også: Opkøbt virksomhed: hvornår kommer den ind under jeres sikkerhedsstyring? · Nøgletal for sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
