En IT-risiko må kun accepteres af den, der har beføjelse til at bære konsekvensen for virksomheden. I praksis er det direktionen, og ved de største risici bestyrelsen. CISO’en vurderer risikoen, beskriver hvad den kan koste, og indstiller, om den bør reduceres eller accepteres. Selve accepten er en ledelsesbeslutning, som skrives ned med navn, begrundelse og en dato, hvor den skal tages op igen. En accept uden udløbsdato bliver hurtigt til en glemt risiko.
Hvad risikoaccept betyder
Når en risiko er vurderet, er der fire veje at gå. Den kan reduceres med tiltag, flyttes til andre gennem forsikring eller kontrakt, undgås ved at holde op med den aktivitet, der skaber den, eller accepteres som den er. Accept er et legitimt valg. Ingen virksomhed har råd til at fjerne alle risici, og nogle tiltag koster mere end den skade, de forebygger.
Problemet opstår, når accepten sker stiltiende. En sårbarhed bliver ikke rettet, fordi ingen fik tid. Et gammelt system kører videre, fordi udskiftningen blev udskudt. Ingen har besluttet at leve med risikoen, men den er der alligevel. Forskellen mellem en bevidst accept og en forsømmelse ligger i, at nogen med mandat har set på den og truffet et valg.
Hvorfor beslutningen ligger hos ledelsen
En risiko handler om forretningen, også når årsagen er teknisk. Står produktionen stille i tre dage, er det direktionen, der skal forklare kunderne hvorfor. Derfor er det også direktionen, der må afgøre, om sandsynligheden er lav nok til at leve med.
For aktieselskaber og anpartsselskaber med bestyrelse skal bestyrelsen efter selskabsloven § 115, nr. 2, holde øje med, at virksomheden har de procedurer for risikostyring og intern kontrol, som dens forhold kræver. Bestyrelsen accepterer sjældent de enkelte IT-risici selv, men den skal vide, at der findes en procedure for, hvem der gør det. Er virksomheden omfattet af NIS2-loven, skal ledelsesorganet efter § 7 godkende foranstaltningerne og føre tilsyn med gennemførelsen. En risiko, der bevidst lades stå, er en del af det billede, ledelsesorganet godkender. Mere om pligterne står på siden om NIS2 og ledelsens ansvar.
Standarden ISO/IEC 27001 følger samme logik. Den forventer, at hver risiko har en ejer, og at ejerne godkender planen for håndteringen og de risici, der står tilbage.
Hvad CISO’en forbereder
Den eksterne CISO gør accepten mulig at træffe på et oplyst grundlag. Det kræver en kort indstilling med fem dele.
- Risikoen i almindelige ord. Hvad kan ske, og hvilke systemer eller data er berørt.
- Konsekvensen for forretningen. Nedetid, tabte ordrer, brud på en kundekontrakt eller en underretning til myndighederne.
- Hvad det koster at reducere den. Tid, penge og forstyrrelse af driften.
- CISO’ens anbefaling. Med en begrundelse, som ledelsen kan være uenig i.
- Forslag til udløbsdato. Hvornår accepten skal vurderes igen.
Indstillingen bør passe på én side. Et eksempel kunne være en grossist med 60 ansatte, der kører et lagersystem, som leverandøren holder op med at opdatere om et år. Udskiftningen er planlagt til næste regnskabsår. CISO’en indstiller, at risikoen accepteres i ti måneder, mod at systemet adskilles fra resten af netværket og overvåges tættere. Direktionen beslutter, og beslutningen står i referatet. Hvordan risikoen vurderes i første omgang, er beskrevet i risikovurdering for ledelsen.
Grænser for, hvem der må sige ja
Der bør være en klar fordeling af, hvem der må acceptere hvad. En enkel model er tre niveauer.
- Lave risici kan systemejeren eller afdelingslederen acceptere, med orientering til CISO’en.
- Mellemstore risici accepteres af direktionen på et ledelsesmøde.
- De største risici, fx dem der kan true virksomhedens drift i længere tid, forelægges bestyrelsen.
CISO’en accepterer ikke selv risici på virksomhedens vegne. Rollen er at vurdere og indstille, og det gælder i særlig grad, når CISO’en kommer udefra. IT-leverandøren bør heller ikke kunne acceptere en risiko, der ligger i dens egen leverance. Mandatet for den eksterne rolle er beskrevet i hvilket mandat en ekstern CISO skal have.
Udløbsdatoen
En accept gælder for en periode. Trusselsbilledet ændrer sig, systemer bliver ældre, og det, der var en lav risiko for to år siden, kan være høj i dag. Derfor skal hver accept have en dato, hvor den automatisk kommer på dagsordenen igen. For de fleste risici er tolv måneder et passende udgangspunkt. For risici, der hænger sammen med et planlagt projekt, giver det mening at sætte datoen til projektets afslutning.
Når datoen nærmer sig, tager CISO’en risikoen op med en kort status. Er forudsætningerne de samme, kan accepten forlænges. Har noget ændret sig, skal den vurderes forfra. En accept, der forlænges år efter år uden ny vurdering, er et tegn på, at noget er gået i stå. Hvilken plads accepterne har i den samlede proces, står på siden om risikovurdering og sikkerhedsstrategi.
Det skal I lade være med
- At lade tavshed tælle som accept. En risiko, der ingen har besluttet noget om, er ubehandlet.
- At lade CISO’en eller leverandøren skrive under. De vurderer og rådgiver, ledelsen beslutter.
- At acceptere uden at kende prisen for alternativet. Så ved ingen, hvad der blev fravalgt.
- At gemme accepterne i en mail. De hører hjemme i risikoregistret og i referatet.
- At give accepter uden slutdato. Så forsvinder de ud af syne.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne vise en procedure for accept, som passer til jeres størrelse. Rådgiveren må heller ikke have økonomisk interesse i, om en risiko løses med det ene eller det andet produkt, så spørg direkte ind til provision og partneraftaler.
- ☐ En skriftlig fordeling af, hvem der må acceptere hvilke risici.
- ☐ Indstillinger på én side med konsekvens, alternativ og anbefaling.
- ☐ Hver accept registreret med navn, dato og udløbsdato.
- ☐ Automatisk genbehandling, når datoen nærmer sig.
- ☐ En årlig oversigt over accepterede risici til bestyrelsen.
- ☐ Oplysning om bindinger til leverandører, der kunne påvirke anbefalingerne.
Sådan kommer I i gang
Bed jeres IT-leverandør eller CISO om en liste over kendte forhold, der ikke er rettet. Gennemgå den på næste direktionsmøde, og beslut for hvert punkt, om det skal rettes eller accepteres. Skriv beslutningerne ind med datoer. Det er starten på en praksis, der kan holde til et tilsyn. Den samlede rapportering til bestyrelsen er beskrevet under cybersikkerhed i bestyrelseslokalet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6 om foranstaltninger og § 7 om ledelsesorganets godkendelse og tilsyn.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115, nr. 2, om bestyrelsens ansvar for risikostyring og intern kontrol.
- ISO/IEC 27001 hos ISO: krav til risikoejere og godkendelse af restrisici.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling · Sikkerhedsrapport til bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
