Står NIS 2-loven ikke bag, og vil bestyrelsen alligevel se IT-sikkerheden med andres øjne, kan den selv formulere opdraget, bede om at få rapporten direkte og fastlægge, hvordan fundene følges op. Ingen lov kræver auditten, så bestyrelsen bestemmer formen, og det er netop derfor, formen er værd at gennemtænke.
Spørgsmålet kommer ofte efter en hændelse hos en anden virksomhed, et spørgsmål fra revisor eller en ny bestyrelsesformand. Direktionen siger, at det er under kontrol. Bestyrelsen har ingen grund til at tvivle og heller intet at holde udsagnet op imod. Denne artikel handler om, hvordan den kløft lukkes uden at underkende direktionen.
Hvad loven siger om bestyrelsens rolle
Selskabsloven § 115 pålægger bestyrelsen i et kapitalselskab at påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller (nr. 2), og at direktionen udøver sit hverv behørigt (nr. 4). Bestemmelsen nævner ikke IT-sikkerhed. Det er en fortolkning, at IT-risici hører under risikostyring og interne kontroller, og den ligger nær, når virksomheden afhænger af sine systemer.
Loven kræver ikke en audit. Den giver bestyrelsen en pligt til at påse, og en uafhængig gennemgang er en af måderne at gøre det på. For virksomheder omfattet af NIS 2 har ledelsesorganet en særlig rolle efter lovens § 7. Den situation behandles i bestyrelsen bestiller selv NIS2-auditten.
Hvad anbefalingerne peger på
Bestyrelsesforeningens Center for Cyberkompetencer udgav i marts 2021 anbefalinger om cybersikkerhed for bestyrelser. Der kan være kommet en nyere udgave, så anbefalingerne er gengivet her med det forbehold. De omfatter bl.a., at bestyrelsen mindst to gange om året modtager og forholder sig til en opdateret risikovurdering på cyberområdet, at den fører kontrol med politikker og testede beredskabsplaner, og at mindst ét medlem har viden om cyber- og informationssikkerhed. Rapporteringen til bestyrelsen kan ifølge publikationen bl.a. omfatte resultater fra interne og eksterne audits og status på implementering.
Sikkerdigital.dk har desuden en bestyrelsesguide og tjekliste om digital ansvarlighed, rettet mod bestyrelse og direktion. Den er ikke gennemgået her.
Opdraget, formuleret af bestyrelsen
Når bestyrelsen selv bestiller, er opdraget dens eget spørgsmål. En praktisk form er tre linjer:
- Spørgsmålet. Hvad vil bestyrelsen vide? Et tænkt eksempel: “Kan virksomheden genetablere sine kritiske systemer efter et angreb, og lever adgangsstyringen op til vores egen politik?”
- Kriterierne. Hvad skal tilstanden måles imod? Uden lovkrav er det typisk virksomhedens egen politik og risikovurdering eller en anerkendt ramme. Et kriterium som “tilstrækkelig sikkerhed” kan ikke auditeres; det skal være konkret.
- Modtageren. Rapporten går til bestyrelsen. Direktionen får den samtidig eller får lejlighed til at kommentere fakta, før den er endelig.
Den sidste linje er den vigtigste for uafhængigheden. Går rapporten gennem direktionen først, kan bestyrelsen ikke vide, om billedet er det samme, som auditor afleverede. Det er praksis, og den er nem at skrive ind.
Uafhængig af hvem
Et uafhængigt billede kræver en auditor, der ikke har bygget, drevet eller solgt det, der gennemgås. Er virksomhedens IT-leverandør også den, der vurderer sikkerheden, mangler den afstand. Bestyrelsen kan spørge auditor direkte, om der er forhandleraftaler eller planer om at levere løsninger bagefter. Hvordan uvildighed prøves, står i uvildig og uafhængig.
Opfølgningen
En rapport til bestyrelsen er kun begyndelsen. Anerkendt praksis er, at hvert fund får en ejer i direktionen og en frist, og at bestyrelsen får status på de åbne fund på et fast møde. Bestyrelsesforeningens anbefaling om risikovurdering to gange årligt kan bruges som rytme for den status.
Er virksomheden stor eller del af en koncern, og skal rapporteringen bygges op over flere år med en fast målestok, ligger emnet i rapportering af sikkerhedsmodenhed til bestyrelsen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning i bestyrelsen, et opdrag på få linjer og en aftale om, at rapporten sendes direkte. Formanden eller et medlem med viden om området er den naturlige kontaktperson for auditor. Direktionen bør stille oplysninger og folk til rådighed, og det er værd at aftale med den på forhånd.
Uden et uafhængigt billede hviler bestyrelsens tilsyn på direktionens egen beskrivelse. Det går godt, indtil en hændelse viser, at beskrivelsen var for optimistisk, og så står bestyrelsen uden dokumentation for, at den har påset noget.
Det skal I lade være med
- At lade rapporten gå gennem direktionen først · så kan bestyrelsen ikke se, om billedet er uændret.
- At bruge IT-leverandøren som auditor · den vurderer sit eget arbejde.
- At bestille uden konkrete kriterier · “tilstrækkelig sikkerhed” kan ikke måles.
- At lade fundene ligge uden ejer i direktionen · status kan så ikke følges.
Det skal auditten kunne vise
- ☐ Bestyrelsens spørgsmål og de kriterier, der er målt imod.
- ☐ At rapporten er afleveret direkte til bestyrelsen, og hvornår.
- ☐ At auditor ikke har leveret eller drevet det, der er gennemgået.
- ☐ En ejer og en frist for hvert fund og en plan for status til bestyrelsen.
Kilder
- Selskabsloven, lovbekendtgørelse nr. 331 af 20. marts 2025, § 115, https://www.retsinformation.dk/eli/lta/2025/331, læst 12. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, “Cybersikkerhed for bestyrelser”, marts 2021, s. 8-10, https://www.ds.dk/media/552b2gvc/cybersikkerhed-for-bestyrelser-anbefalinger-til-styrkelse-af-cyberkompetencer-v2-1-marts-2021.pdf, læst 12. november 2026.
- Sikkerdigital.dk, “Test og værktøjer”, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra fund til handlingsplan · Valg af auditor
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
