En bestyrelse, der vil vide, om cybersikkerheden er under kontrol, får mest ud af spørgsmål, der kræver konkrete svar: datoer, navne og tidsrum. De ti spørgsmål nedenfor er skrevet til formandens forberedelse før et bestyrelsesmøde. Til hvert spørgsmål står det svar, der bør få bestyrelsen til at spørge videre. Listen supplerer de faste spørgsmål, direktøren stiller sin CISO hvert kvartal; her er det bestyrelsen, der spørger direktionen.
Hvorfor bestyrelsen skal spørge selv
I selskaber med både bestyrelse og direktion er bestyrelsen ledelsesorganet efter NIS2-loven, jf. § 3, nr. 20. Efter § 7 godkender ledelsesorganet foranstaltningerne og fører tilsyn med arbejdet, og medlemmerne skal på relevante kurser. Et tilsyn, der kun består i at modtage en rapport, er tyndt. Spørgsmål, der stilles og besvares i referatet, viser, at bestyrelsen har prøvet direktionens billede af.
Det gælder også, når virksomheden har en dygtig direktør og en IT-leverandør, bestyrelsen har tillid til. Spørgsmålene handler om at se, at arbejdet er forankret i beslutninger og dokumenter, så det holder, også den dag direktøren skifter job eller leverandøren bliver udskiftet.
Spørgsmålene er også nyttige for bestyrelser i virksomheder, der ikke er omfattet af loven. Kunder, forsikringsselskab og bank kan stille de samme spørgsmål. Hvem der er ledelsesorgan i jeres selskabsform, står i hvem er ledelsesorganet.
Om grundlaget
1. Er vi omfattet af NIS2-loven, og hvem har vurderet det? Svaret skal indeholde en konklusion, en dato og et navn. Bliv opmærksom, hvis svaret er “det tror vi ikke” uden en skriftlig vurdering, eller hvis vurderingen er fra før en større ændring i virksomheden, fx et opkøb.
2. Hvilke tre systemer kan vi ikke undvære, og hvor længe kan vi klare os uden dem? Svaret skal komme fra forretningen. Bliv opmærksom, hvis direktionen ikke kan nævne systemerne uden at spørge leverandøren, eller hvis tidsrummet er “det ved vi ikke”.
3. Hvornår har vi sidst gendannet et vigtigt system fra backup, og hvor lang tid tog det? Bliv opmærksom på “backup kører hver nat”. Det siger intet om, hvorvidt data kan hentes tilbage. Hvad ledelsen skal vide om genetablering, står i backup og reetablering.
Om beslutningerne
4. Hvilke sikkerhedsforanstaltninger har bestyrelsen godkendt, og hvornår blev de sidst ændret? Svaret skal pege på et referat. Bliv opmærksom, hvis godkendelsen er sket én gang ved opstarten og aldrig siden, eller hvis ingen kan finde den.
5. Hvem har mandat til at underrette myndigheden en lørdag nat? Svaret skal være et navn og en stedfortræder. Bliv opmærksom, hvis svaret er “direktøren”, og direktøren er på ferie halvdelen af juli uden en udpeget afløser.
6. Hvad har vi lovet kunderne om sikkerhed i vores kontrakter, og kan vi holde det? Bliv opmærksom, hvis ingen har overblik over løfterne, eller hvis salget har underskrevet krav, som drift og IT ikke kender. Hvordan kundekrav samles, står i når kunderne stiller sikkerhedskrav.
Om leverandører og forsikring
7. Hvilke leverandører kan stoppe vores drift, og hvad har vi fået at se fra dem? Svaret skal være en kort liste og den dokumentation, der er modtaget. Bliv opmærksom på “de er ISO-certificerede” uden at nogen har læst, hvad certifikatet dækker.
8. Hvad svarede vi forsikringsselskabet ved seneste fornyelse, og passer det stadig? Bliv opmærksom, hvis svarene blev udfyldt af én person uden kontrol, eller hvis noget er ændret siden, fx flerfaktor-login, der kun er slået til for en del af kontiene. Hvorfor svarene skal holde, står i cyberforsikringens spørgsmål.
Om mennesker og økonomi
9. Hvornår har bestyrelsen og direktionen sidst været på kursus eller deltaget i en øvelse? Bliv opmærksom, hvis svaret er et webinar for to år siden, eller hvis øvelsen aldrig har involveret bestyrelsen. Hvad kurset skal kunne, står i NIS2-uddannelse af ledelsen.
10. Hvad ville en uges stilstand koste os, og står indsatsen i forhold til det? Svaret behøver ikke være præcist, men det skal være forsøgt opgjort i tabt omsætning, bod og ekstra arbejde. Bliv opmærksom, hvis sikkerhedsbudgettet er fastsat uden en sådan vurdering.
Sådan bruger formanden listen
Vælg tre eller fire spørgsmål til hvert møde, så emnet får plads uden at tage hele dagsordenen. Send dem til direktionen to uger før, og bed om skriftlige svar, der kan vedlægges referatet. Tag resten af listen ved de næste møder, så hele listen er gennemgået i løbet af et år.
Et svar, der vækker opmærksomhed, peger på et sted, hvor der mangler en beslutning, et dokument eller en ejer. Bestyrelsens rolle er at sikre, at hullet får en dato og en ansvarlig. Hvordan rapporten til bestyrelsen kan bygges op, så mange af svarene kommer af sig selv, står i sikkerhedsrapport til bestyrelsen.
Det skal I lade være med
- At stille spørgsmålene mundtligt og uden referat. Så kan tilsynet ikke dokumenteres.
- At nøjes med IT-leverandørens svar. Leverandøren kan sjældent svare på spørgsmål om forretningens behov.
- At acceptere procenter uden tal bag. “95 procent er på plads” siger intet om de sidste fem.
- At tage alle ti på én gang. Svarene bliver overfladiske, og emnet fylder for meget.
- At glemme opfølgningen. Et svar, der burde vække opmærksomhed, skal have en dato for næste status.
Det skal I kræve af den eksterne
Har virksomheden en ekstern CISO, er det ofte den person, der forbereder direktionens svar.
- ☐ Skriftlige svar på de udvalgte spørgsmål før mødet, godkendt af direktionen.
- ☐ Henvisning til det dokument eller referat, der understøtter hvert svar.
- ☐ Ærlighed om de svar, der bør vække opmærksomhed, med forslag til, hvad der skal ske.
- ☐ Et udkast til den beslutning, bestyrelsen skal træffe, når der er en.
- ☐ Vurderinger af leverandører, der ikke er farvet af salg, partnerskaber eller provision.
Næste møde
Vælg spørgsmål 1, 3 og 5 til næste bestyrelsesmøde. De tre siger meget om, hvor virksomheden står, og svarene kan findes på to uger. Hvordan cybersikkerhed i det hele taget kan få en fast plads i bestyrelsens arbejde, står under cybersikkerhed i bestyrelseslokalet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3, nr. 20, om ledelsesorganet og § 7, stk. 1 og 2, om godkendelse, tilsyn og kurser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Cybersikkerhed på bestyrelsesmødet · Bestyrelsen under en alvorlig hændelse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
