En risikovurdering, ledelsen kan bruge, beskriver hver risiko som en konsekvens for forretningen: hvad kan ske, hvor sandsynligt er det, hvad koster det, og hvad foreslås der. Tekniske fund som manglende opdateringer eller svage adgangskoder er input til vurderingen, men de skal oversættes, før de når ledelsens bord. CISO eller den, der leder sikkerhedsarbejdet, laver vurderingen sammen med forretningen og IT-leverandøren. Ledelsen tager stilling til, hvilke risici der skal reduceres, og hvilke der kan accepteres.
Fra fund til konsekvens
Et typisk teknisk fund lyder som “fjernadgangen til ERP-systemet er uden multifaktorautentificering”. Det siger ledelsen meget lidt. Den samme oplysning i forretningssprog kunne være: “En angriber med en stjålet adgangskode kan komme ind i ordre- og lagersystemet. Det kan stoppe forsendelser i flere dage og give adgang til kundernes oplysninger.” Nu kan ledelsen vurdere, om risikoen er acceptabel, og hvad det er værd at betale for at reducere den.
Oversættelsen kræver kendskab til både teknikken og forretningen. Det er en af grundene til, at opgaven sjældent kan løses af IT-leverandøren alene. Leverandøren kender systemerne, men ved ikke nødvendigvis, hvilken ordre der ikke må blive forsinket.
Byggestenene i vurderingen
En risikovurdering til ledelsen kan bygges af få faste elementer:
- Aktiver. De tjenester, systemer og data, forretningen afhænger af.
- Trusler. Det, der realistisk kan ramme dem, fx ransomware, svindel med betalinger, nedbrud hos en leverandør eller en medarbejder, der begår en fejl.
- Sandsynlighed. En skala med få trin, hvor hvert trin har en kort beskrivelse, så vurderingen kan gentages.
- Konsekvens. Udtrykt i det, ledelsen forstår: tid uden drift, tab af omsætning, brud på kontrakter, skade på omdømmet.
- Eksisterende foranstaltninger. Det, der allerede reducerer risikoen.
- Restrisiko og forslag. Hvad der står tilbage, og hvad der kan gøres ved det.
NIS2-loven, nævner politikker for risikoanalyse allerede i § 6, stk. 1, nr. 1. Risikovurderingen er dermed også det grundlag, ledelsesorganet skal godkende foranstaltningerne ud fra efter § 7, se Ledelsen skal godkende og føre tilsyn.
Hvem vurderer
Vurderingen bliver bedst, når flere bidrager. Den, der leder sikkerhedsarbejdet, holder processen og skriver resultatet. Ejerne af de vigtigste processer, fx produktionschefen og økonomichefen, kender konsekvenserne. IT-leverandøren ved, hvordan systemerne er sat op, og hvilke foranstaltninger der findes. Resultater fra sårbarhedsscanninger og test kan bruges som input. Hvordan de enkelte fund samles i et register, beskriver sikkerhedstesten.dk i artiklen om risikoregistret.
Leverandører hører også med i vurderingen. Et nedbrud hos driftsleverandøren eller en cloudtjeneste kan ramme lige så hårdt som et angreb på jeres egne systemer, og efter § 6, stk. 1, nr. 4, skal NIS2-omfattede virksomheder håndtere sikkerheden i forholdet til de direkte leverandører.
En workshop på et par timer med de rette deltagere giver ofte et bedre første resultat end uger med spørgeskemaer.
Hvem accepterer
Accept af en risiko er en ledelsesbeslutning. Det er ledelsen, der bærer konsekvensen, hvis risikoen bliver til virkelighed, og det er ledelsen, der råder over de ressourcer, der skal til for at reducere den. En CISO kan foreslå, at en risiko accepteres, og begrunde det, men kan ikke beslutte det på virksomhedens vegne.
Accepten skrives ind i referatet sammen med grunden til den og datoen for genvurdering. Hvordan det kan gøres i praksis, står i Hvem må acceptere en risiko?.
Fremlæggelsen
Ledelsen har brug for et overblik på én til to sider: de vigtigste risici rangeret efter alvor, en kort beskrivelse af hver, forslaget og omkostningen ved at gøre noget. En risikomatrix kan supplere, men den må ikke stå alene, fordi farverne skjuler de vurderinger, der ligger bag. Selve vurderingen med alle detaljer kan ligge som bilag.
Det er nyttigt at vise udviklingen over tid. Når ledelsen kan se, at en risiko er flyttet fra høj til middel efter et tiltag, er det let at forstå, hvad pengene gik til. Nøgletallene til den løbende opfølgning er beskrevet i Nøgletal for sikkerhed, som ledelsen kan følge.
Vurderingen gentages mindst en gang om året og ved større ændringer som nye systemer, nye leverandører eller opkøb.
Det skal I lade være med
- At sende en scanningsrapport til ledelsen. Den skal oversættes til forretningskonsekvenser først.
- At lade IT-leverandøren vurdere sin egen leverance alene. Nogen på jeres side skal stille spørgsmålene.
- At bruge en skala uden beskrivelser. Så kan ingen gentage vurderingen næste år.
- At acceptere risici stiltiende. En risiko, ingen har taget stilling til, er ikke accepteret.
- At lave vurderingen én gang og lægge den væk. Den skal bruges i strategien og i opfølgningen.
Det skal I kræve af den eksterne
- ☐ En vurdering, hvor hver risiko er beskrevet som en konsekvens for forretningen.
- ☐ En beskrevet skala for sandsynlighed og konsekvens.
- ☐ Inddragelse af procesejerne ved siden af IT.
- ☐ Et overblik på én til to sider til ledelsen med forslag til hver væsentlig risiko.
- ☐ Et overblik over accepterede risici, der viser, hvem der accepterede, og hvornår.
Vurderingen er grundlaget for Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling og for resten af arbejdet på Risikovurdering og sikkerhedsstrategi. Næste skridt er at samle tre til fem personer, der kender forretningen, og bede dem pege på de hændelser, der ville gøre mest skade.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 1 og 4 (politikker for risikoanalyse og forsyningskædesikkerhed) og § 7 (ledelsesorganets godkendelse og tilsyn).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: ledelsens stillingtagen til passende sikkerhedsniveau ud fra risikoeksponering.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsrapport til bestyrelsen · Kan ledelsen uddelegere NIS2-arbejdet til en CISO?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
