Risikovillighed er ledelsens skriftlige svar på, hvor meget virksomheden er parat til at tåle, før den skal handle. Svaret kan stå på en halv side med få linjer for hvert af fire områder: nedetid, data, økonomi og omdømme. Direktionen formulerer udmeldingen, og i selskaber med bestyrelse er det bestyrelsen, der godkender den. Derefter bliver den målestokken, når risici vurderes, når planen prioriteres, og når nogen foreslår at leve med en bestemt risiko. Uden den afgøres hver sag efter mavefornemmelse.
Hvorfor grænsen skal stå på papir
I mange mindre virksomheder findes risikovilligheden kun i direktørens hoved. Den bliver synlig, når noget er gået galt, og ledelsen pludselig ved nøjagtigt, hvad der var uacceptabelt. Indtil da skal IT-leverandøren, afdelingslederne og den, der leder sikkerhedsarbejdet, træffe valg hver uge uden at kende grænsen. De gætter, og gættene trækker i hver sin retning.
En nedskrevet udmelding fjerner gætteriet. Den viser, hvornår en risiko er alvorlig nok til at komme på direktionens bord, og hvornår den kan klares længere nede i organisationen. Den binder også to dokumenter sammen. Det niveau, der er sat for hele indsatsen i sikkerhedsstrategien, hviler på de samme linjer, som ledelsen holder en enkelt sag op imod, når den beslutter en risikoaccept.
Fire områder med få linjer hver
Udmeldingen behøver ikke være lang. Det afgørende er, at hvert område har en formulering, som kan sammenlignes med en konkret sag.
- Nedetid. Hvilke tjenester kan undværes en tid, og hvilke skal næsten altid fungere? Linjen siger, hvornår et stop i de vigtigste processer begynder at ramme kunder, leverancer eller produktion for alvor.
- Data. Hvilke oplysninger må under ingen omstændigheder komme uden for huset, og hvor meget arbejde må gå tabt mellem to sikkerhedskopier? Persondata, kundernes materiale og forretningshemmeligheder vurderes som regel strengere end interne arbejdsfiler.
- Økonomi. Hvor stort et tab fra én hændelse kan virksomheden bære, før likviditeten eller årets resultat kommer i fare? Forsikringens dækning og betydningen af en periode med standset omsætning hører med i overvejelsen.
- Omdømme. Hvilke hændelser vil kunder, samarbejdspartnere eller myndigheder have svært ved at tilgive? En underleverandør, hvis største kunde har skrevet sikkerhedskrav ind i kontrakten, har en lavere tærskel her end en virksomhed med mange små kunder.
Et tænkt eksempel på formen
Eksemplet nedenfor viser kun, hvordan en udmelding kan se ud. Det er opdigtet og må ikke bruges som målestok, fordi jeres grænser skal komme fra jeres egen forretning. Tænk jer en virksomhed i produktion med 40 ansatte, der skriver sådan:
- Nedetid: Ordremodtagelse og produktionsstyring må højst stå stille så længe, som lageret af færdigvarer kan dække de aftalte leverancer. Mail og intranet kan vente.
- Data: Kundernes tegninger og medarbejdernes personoplysninger må ikke lække. Ordrer, der mistes i systemet, skal kunne genskabes fra mails og papir.
- Økonomi: Én hændelse må ikke koste mere, end forsikringen og den frie likviditet tilsammen kan bære.
- Omdømme: Enhver hændelse, der skal forklares over for de tre største kunder, behandles som en høj risiko.
Hver linje kan omsættes til krav. Linjen om nedetid giver IT-leverandøren et mål for, hvor hurtigt produktionsstyringen skal være tilbage. Linjen om omdømme afgør, hvilke sager der automatisk går til direktionen.
Hvem der fastsætter den
Direktionen kender driften og skriver typisk det første udkast sammen med den, der leder sikkerhedsarbejdet. Udmeldingen sætter dog rammen for virksomhedens samlede risiko, og derfor hører den hjemme hos bestyrelsen, hvor der er en. Efter selskabsloven § 115 varetager bestyrelsen i kapitalselskaber den overordnede og strategiske ledelse, og efter nr. 2 skal den påse, at de fornødne procedurer for risikostyring er etableret. En godkendt risikovillighed er en naturlig del af den procedure, fordi den viser, hvor bestyrelsen har sat grænsen.
For virksomheder under NIS2-loven står risikoanalysen først blandt minimumskravene, idet § 6, stk. 1, nr. 1, handler om politikker for analysen og for sikkerheden i informationssystemerne. Loven foreskriver ingen bestemt form for risikovillighed. En risikoanalyse uden et niveau at måle imod giver dog ledelsesorganet et tyndt grundlag at godkende foranstaltningerne på. Hvordan pligterne hænger sammen, står på siden om risikovurdering og sikkerhedsstrategi.
I en ejerledet virksomhed uden bestyrelse fastsætter ejeren den selv. Værdien ligger så i, at grænsen bliver skrevet ned og kan forklares for leverandøren og medarbejderne. En ekstern CISO stiller spørgsmålene, viser konsekvenserne af forskellige formuleringer og skriver udkastet, men beslutningen bliver hos ledelsen.
Brugen i risikovurderingen
Den faste risikoanalysemetode beskriver skalaerne og kriterierne, altså hvordan der måles. Risikovilligheden beskriver, hvor meget ledelsen vil finde sig i. De to skal passe sammen. Når konsekvensskalaen har et spor for drift, et for data, et for økonomi og et for omdømme, kan hvert spor få en markering, der viser, hvor ledelsens linje går.
Ved den årlige vurdering holdes hver risiko op mod linjerne. Ligger den under, kan den håndteres i den daglige drift og følges i registret. Ligger den over, kræver den enten en plan med ansvarlig og frist eller en begrundet accept fra den rette person. En accept af en risiko, der overskrider udmeldingen, bør sige det direkte, så ingen senere tror, at grænsen blev overholdt. Hvordan vurderingen bliver til et beslutningsgrundlag, er beskrevet i risikovurdering for ledelsen.
Plads i årshjulet
Udmeldingen gennemgås én gang om året, gerne lige før risikovurderingen opdateres, så vurderingen bygger på den gældende version. Det passer naturligt ind i årshjulet for sikkerhed. Den tages også op ved større ændringer, fx et opkøb, en ny stor kunde, en ny forretningsmodel eller efter en alvorlig hændelse, hvor det viste sig, at grænsen sad et andet sted end antaget. Hver version får dato og versionsnummer, og ændringer godkendes på samme niveau som den første udgave.
Det skal I lade være med
- At skrive lav risikovillighed om alt. Så bliver alt lige vigtigt, og intet kan prioriteres.
- At låne grænser fra en skabelon eller en anden virksomhed. De passer til en forretning, der ikke er jeres.
- At lade IT-leverandøren formulere linjerne. Leverandøren kender systemerne, mens tabet for forretningen er jeres at vurdere.
- At gøre formuleringerne så brede, at ingen sag kan afgøres med dem. En linje, der ikke kan holdes op mod en hændelse, styrer ingenting.
- At flytte grænsen i det stille for at få en bestemt risiko under stregen. Ændringer skal stå i et referat med dato.
Det skal I kræve af den eksterne
Den, der hjælper med formuleringen, bør ikke have fordel af de indkøb, en stram linje kan udløse. Bed om skriftlig oplysning om provision og aftaler med leverandører, før arbejdet går i gang.
- ☐ Et udkast på højst én side med en formulering for hvert af de fire områder.
- ☐ Spørgsmål, der får ledelsens egne grænser frem i stedet for færdige tal fra andre.
- ☐ En kobling mellem udmeldingen og skalaerne i risikoanalysemetoden.
- ☐ En markering i risikoregistret af de risici, der ligger over linjen.
- ☐ En fast dato i årshjulet for gennemgang og godkendelse.
Næste skridt er at tage de fire overskrifter med til det næste direktionsmøde og skrive én sætning under hver. Det er udkastet, som bestyrelsen senere kan tage stilling til.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens overordnede og strategiske ledelse og nr. 2 om procedurer for risikostyring.
- NIS2-loven, lov nr. 434 af 6. maj 2025 (XML): § 6, stk. 1, nr. 1, om politikker for risikoanalyse og informationssystemsikkerhed.
Senest gennemgået: november 2026.
Næste skridt
- Risikoanalysemetode: sådan bliver vurderingerne sammenlignelige år for år
- Hvem må acceptere en risiko?
Læs også: Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling · Modenhedsvurdering og gap-analyse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
