Bestyrelsen læser en NIS2-auditrapport for at kunne føre det tilsyn, § 7 i NIS 2-loven pålægger den. Det kræver ingen teknisk baggrund. Det kræver, at bestyrelsen stiller de rigtige spørgsmål, først til rapporten og derefter til direktionen, og at svarene bliver skrevet ind i referatet.
Lovens ledelsesorgan er bestyrelsen, hvor selskabet har en. Findes der alene en direktion, er spørgsmålene rettet til den.
Hvorfor bestyrelsen skal læse den
Efter § 7, stk. 1, er det ledelsesorganet, der både godkender cybersikkerhedsforanstaltningerne og holder øje med, at de bliver gennemført. Myndighedens vejledning om ledelsens rolle tilføjer, at tilsynet skal række til virkningen. Bestyrelsen skal altså kunne se, at tiltagene er realiseret, og at de virker.
Vejledningen nævner flere måder at føre tilsyn på. Én af dem er, at en udefrakommende gennemgår kravene og rapporterer til ledelsen. Vejledningen bruger ordet ekstern revision om det, uden at der er tale om revision efter revisorloven. Rapporten er altså et redskab, bestyrelsen fører sit tilsyn med.
Vejledningen siger også, at ledelsesorganet samlet skal have kompetencer til at styre cybersikkerheden. Det er en grund til, at hele bestyrelsen bør forstå rapportens hovedpunkter, også de medlemmer, der ikke arbejder med IT til daglig.
Fire spørgsmål til rapporten
Hvad omfatter den? Bestyrelsen bør se, hvilke selskaber, systemer og lokationer der er med, hvilken periode der er dækket, og om der har været begrænsninger. Et område, der ikke er gennemgået, er ikke dokumenteret i orden.
Hvad er målt imod? Normalt lovens § 6 og myndighedens vejledning. Rapporten skal skelne mellem det, vejledningen kræver, og det, den anbefaler. Et fravalgt “bør” er ikke en lovovertrædelse, hvis valget er begrundet og dokumenteret.
Hvad hviler konklusionen på? En konklusion bygget på interviews alene er svagere end en, der bygger på dokumenter, spor og stikprøver. Spørg, hvordan auditor kom frem til de vigtigste konklusioner. Bevisformerne er forklaret i bevis i NIS2-auditten.
Hvad er krav, og hvad er anbefaling? Mangler i krav skal efter § 6, stk. 2, rettes uden unødigt ophold. Anbefalinger kan prioriteres. Bestyrelsen bør se de to grupper hver for sig.
Fire spørgsmål til direktionen
Hvem ejer hver handling, og hvornår er den færdig? En plan uden ejere og datoer kan bestyrelsen ikke følge op på. Se fra fund til handlingsplan.
Hvilke risici står tilbage, og hvem har accepteret dem? Vejledningen om cybersikkerhedsforanstaltninger kræver, at restrisiko accepteres af risikoejeren, og at ledelsesorganet får passende rapportering. Bestyrelsen bør se, hvem der har accepteret hvad.
Hvad skete der med fundene fra sidste gang? Er samme mangel i rapporten igen, kræver det en forklaring. Det er emnet i handlingsplanen er gået i stå.
Hvad skal bestyrelsen beslutte i dag? Det kan være at godkende korrigerende foranstaltninger, at afsætte ressourcer eller at tage stilling til en accept af risiko. Hvor langt den accept kan gå, forklares under risikoaccept efter NIS2.
Skriv behandlingen ind i referatet
Bestyrelsens læsning er først bevis for tilsynet, når den står i referatet. Referatet bør nævne rapporten med dato, de vigtigste fund, de spørgsmål, bestyrelsen stillede, svarene og beslutningerne. Næste møde bør følge op. Hvad referatet skal indeholde, er beskrevet i sporet efter ledelsesorganets godkendelse.
Store virksomheder og koncerner, der rapporterer om sikkerhed til bestyrelsen løbende, finder mere om bestyrelsesrapportering og modenhed.
Forberedelsen før mødet
Bestyrelsen får mest ud af rapporten, hvis den har tid til at læse den før mødet. En kort indstilling fra direktionen hjælper. Den bør sige, hvilke fund direktionen er enig i, hvilke handlinger der allerede er sat i gang, og hvad direktionen foreslår, at bestyrelsen beslutter. Bestyrelsen kan også bede auditor om at deltage under punktet. Så kan spørgsmål om omfang og bevis besvares direkte, og bestyrelsen hører auditors vurdering uden mellemled. Har et udvalg forberedt sagen, fremlægger udvalget sin vurdering, mens beslutningen ligger hos hele ledelsesorganet. Vejledningen om ledelsens rolle fastholder, at ansvaret er fælles, også når opgaver er lagt i et udvalg.
Hvad det kræver, og hvad det koster at lade være
Det kræver et punkt på dagsordenen med tid nok, en rapport med en kort side til ledelsen og en direktion, der er forberedt på spørgsmålene. Bestyrelsen bør have rapporten nogle dage før mødet.
Tager bestyrelsen rapporten til efterretning uden spørgsmål, er det svært at vise, at den har ført tilsyn. Ved en hændelse eller et tilsyn vil det første spørgsmål være, hvad ledelsesorganet vidste, og hvad det gjorde.
Det skal I lade være med
- At tage rapporten til efterretning uden drøftelse · det dokumenterer ikke et tilsyn.
- At overlade læsningen til det medlem, der kender mest til IT · ansvaret er hele ledelsesorganets.
- At glemme fundene fra sidste rapport · gentagne mangler kræver en forklaring.
Det skal auditten kunne vise
- ☐ At rapporten er forelagt ledelsesorganet med dato.
- ☐ Bestyrelsens spørgsmål og direktionens svar i referatet.
- ☐ Beslutninger om korrigerende foranstaltninger og om accept af risiko.
- ☐ Opfølgning på næste møde.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 1, 4 og 5, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.b og 6.b, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sæt rapporten på næste bestyrelsesmøde som et selvstændigt punkt med de otte spørgsmål som bilag.
Læs også: Auditrapporten som dokumentation for tilsyn · Ledelsens rolle i auditten
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
