En sikkerhedsrapport til bestyrelsen kan holdes på én side, når den er bygget op om fire faste afsnit: de vigtigste risici og ændringer i dem, fremdriften i den godkendte plan, hændelser siden sidst og de beslutninger, bestyrelsen bedes træffe. Alt andet er baggrund, som kan ligge i et bilag eller hos direktionen. Rapporten skrives i forretningssprog, så hvert punkt siger, hvad der står på spil for virksomheden. Den, der leder sikkerhedsarbejdet, skriver udkastet. Direktionen står inde for rapporten over for bestyrelsen.
Hvad rapporten skal bruges til
Bestyrelsen læser en sikkerhedsrapport for at kunne svare på to spørgsmål: Er risikoen på et niveau, vi kan acceptere, og bevæger arbejdet sig i den retning, vi har besluttet? Rapporten er dermed et styringsredskab. Den skal give grundlag for at handle, og den skal kunne findes frem senere som dokumentation for, at bestyrelsen har været orienteret og har taget stilling.
For en NIS2-omfattet virksomhed hænger det sammen med ledelsesorganets pligt til at godkende foranstaltningerne og føre tilsyn med dem. Hvad der konkret skal på bordet, før ledelsen kan godkende, er gennemgået i artiklen om godkendelse og tilsyn.
Opbygningen på én side
En skabelon, der passer de fleste mindre og mellemstore virksomheder:
- Samlet vurdering. To til tre sætninger om, hvordan risikobilledet har udviklet sig siden sidste rapport, og hvorfor.
- De vigtigste risici. Højst fem, hver med en kort beskrivelse af konsekvensen for forretningen, den nuværende vurdering og pilen op, ned eller uændret.
- Fremdrift i planen. De tiltag, bestyrelsen har godkendt, med status og forklaring på forsinkelser.
- Hændelser. Hvad der er sket, hvad det betød for drift, kunder eller data, og hvad der er lært.
- Leverandører og kundekrav. Ændringer hos kritiske leverandører og nye krav fra kunder, kun når de påvirker risikoen.
- Indstillinger. De beslutninger, bestyrelsen bedes træffe, med begrundelse.
Afsnit 5 kan udelades, når der intet nyt er. De andre fem står der hver gang, også når svaret er kort. Et afsnit, der forsvinder fra rapport til rapport, giver bestyrelsen indtryk af, at nogen har valgt det fra.
Fra fund til forretningskonsekvens
Den sværeste del af rapporten er oversættelsen. Tekniske fund som manglende opdateringer eller svag adgangsstyring siger bestyrelsen lidt. Det, bestyrelsen kan forholde sig til, er, hvad der kan ske: at produktionen står stille i flere dage, at kundedata kommer ud, eller at en vigtig kunde opsiger aftalen.
Tag produktionsvirksomheden med 40 ansatte. I stedet for “flere servere kører på en version uden sikkerhedsopdateringer” kan rapporten skrive: “Styringen af to produktionslinjer afhænger af systemer, som leverandøren ikke længere vedligeholder. Et angreb her kan stoppe produktionen i op til en uge. Udskiftning er planlagt til andet kvartal og kræver bevilling.” Bestyrelsen ved nu, hvad der står på spil, og hvad den skal tage stilling til.
Hvordan risici vurderes, så de kan bruges i den slags formuleringer, er beskrevet i artiklen om risikovurdering, som ledelsen kan træffe beslutninger på.
Tal i rapporten
Nogle få tal kan gøre rapporten skarpere, fx andelen af medarbejdere med totrinsbekræftelse eller antallet af kritiske systemer, der mangler opdateringer. Tallene skal vise retning over tid og have en forklaring. En rapport fyldt med grafer gør det sværere at se, hvad der er vigtigt. Hvilke tal der giver mening at følge, er emnet i artiklen om nøgletal.
Hvem skriver, og hvem står inde for den
Udkastet skrives af den, der leder sikkerhedsarbejdet, i mange mindre virksomheder en ekstern CISO. Direktionen gennemgår udkastet, før det sendes til bestyrelsen, og kan tilføje sine egne bemærkninger. Er direktionen og CISO uenige om en vurdering, bør uenigheden fremgå af rapporten frem for at blive glattet ud. Bestyrelsen har krav på at vide, at der er to opfattelser.
Rapporten til bestyrelsen er toppen af en kæde. Under den ligger en mere detaljeret rapportering til direktionen, som på ekstern-it-ledelse.dk er beskrevet i artiklen om rapportering til ledelsen. Rapporten bruges typisk som materiale til det faste punkt, der er beskrevet i cybersikkerhed som fast punkt på bestyrelsesmødet.
Rytme og arkiv
Rapporten følger bestyrelsens møderytme. Ved de ordinære møder er det den korte udgave. Ved den årlige gennemgang suppleres den med den opdaterede risikovurdering og et forslag til planen for næste år. Hver rapport dateres og gemmes sammen med referatet fra det møde, hvor den blev behandlet. Over nogle år opstår der en historik, der viser, hvordan risikobilledet har udviklet sig, og hvilke beslutninger der er truffet undervejs. Historikken er nyttig, når nye bestyrelsesmedlemmer skal sættes ind i sagerne, når en kunde spørger til ledelsens involvering, og når tilsynet med sikkerhedsarbejdet skal kunne dokumenteres. Fordelingen af rapporter og større gennemgange over året kan planlægges i et årshjul for sikkerhedsarbejdet.
Det skal I lade være med
- At sende leverandørens driftsrapport videre som sikkerhedsrapport · den viser oppetid og antal sager og siger kun lidt om risikoen for forretningen.
- At lade rapporten vokse fra gang til gang · hold fast i én side og flyt resten til bilag.
- At skrive “ingen væsentlige forhold” uden forklaring · bestyrelsen skal kunne se, hvad vurderingen bygger på.
- At udelade indstillinger · en rapport uden noget at beslutte bliver hurtigt et punkt til efterretning.
- At ændre skabelonen hver gang · faste afsnit gør det muligt at sammenligne over tid.
Det skal I kræve af den eksterne
- ☐ En skabelon, som direktionen har godkendt, og som bruges hver gang.
- ☐ Risici beskrevet med konsekvens for forretningen og en klar vurdering.
- ☐ Status på alle godkendte tiltag, også dem, der er gået i stå.
- ☐ Åbenhed om usikkerhed og uenighed i vurderingerne.
- ☐ Udkast i så god tid, at direktionen kan nå at gennemgå det.
- ☐ Rapporter gemt i virksomhedens eget system, så historikken bliver hos jer.
Kom i gang med den første rapport
Den første rapport kan laves ud fra det, I ved i dag, selv om billedet er ufuldstændigt. Skriv de risici ned, I kender, angiv hvad I endnu ikke ved, og indstil til bestyrelsen, hvordan hullerne skal lukkes. Næste rapport bliver bedre, fordi der nu er noget at sammenligne med. Hvordan rapporteringen passer ind i det samlede arbejde med bestyrelsen, afhænger af møderytmen. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Årshjul for sikkerhedsarbejdet i ledelsen · Hvem refererer CISO til, når rollen er ekstern?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
