Bestyrelsens årshjul: hvor sikkerhedstesten passer ind

En sikkerhedstest, der kommer på bestyrelsens bord tilfældigt, bliver let en enkeltstående sag, som ingen følger op på. Når testen har en plads i årshjulet, hænger den sammen med de beslutninger, den skal understøtte: budgettet, drøftelsen af risici og strategien. Placeringen hviler ikke på en fast regel, men på et spørgsmål, bestyrelsen selv skal besvare: hvornår på året har vi mest brug for at vide, hvordan det står til?

Hvorfor sikkerheden hører til i årshjulet

Den danske tjekliste til bestyrelser på sikkerdigital.dk spørger direkte, om IT-sikkerhed er en fast del af bestyrelsens årshjul, og om bestyrelsen modtager løbende rapportering om virksomhedens IT-sikkerhed og risici. Det britiske NCSC skriver i sit materiale til bestyrelsesmedlemmer, at bestyrelsen bør modtage ledelsesinformation om, hvordan sikkerhedsstrategien og planen gennemføres, og at det bør gennemgås mindst en gang om året. Begge kilder er vejledning og ikke lovkrav, men de peger i samme retning: sikkerhed skal have en fast plads, så den ikke kun behandles, når noget er gået galt.

En sikkerhedstest er ikke det samme som hele sikkerhedsarbejdet. Men den giver et af de få konkrete billeder af, hvordan forsvaret holder i praksis, og den er derfor et naturligt fast punkt. Andre dele af sikkerhedsarbejdet, fx beredskabsplanen, politikker og leverandørstyring, kan have deres egne punkter i årshjulet. Testen kan med fordel placeres, så den belyser dem.

Tre steder i årshjulet, testen kan kobles til

Der er ikke ét rigtigt tidspunkt. Testen kan kobles til et eller flere af disse punkter, afhængigt af hvad bestyrelsen vil bruge den til.

Budgettet · hvis resultatet skal bruges til at prioritere midler til rettelser og nye løsninger, bør det foreligge, før budgettet for næste år lægges. → Budgettering af sikkerhedstest
Risikodrøftelsen · hvis bestyrelsen gennemgår virksomhedens væsentligste risici på et bestemt møde, kan testens resultat være et af grundlagene.
Strategien · hvis virksomheden planlægger nye digitale tiltag, kan testen bruges til at vurdere, om fundamentet er klar. → Sikkerhedstesten i strategien

Det er ikke sikkert, at én test kan ramme alle tre. Bestyrelsen kan vælge det vigtigste og så lade en kort status følge med på de andre møder. Hvis virksomheden har flere tests om året, fx af forskellige systemer, kan de fordeles, så hver af dem understøtter sin egen beslutning.

Fra bestilling til opfølgning

Når bestyrelsen har valgt, hvornår resultatet skal foreligge, kan direktionen regne baglæns. En test skal bestilles, planlægges og gennemføres, og rapporten skal oversættes til et oplæg, før den kan komme på dagsordenen. Det tager tid, og hvor lang tid afhænger af testens omfang og af, hvor hurtigt leverandører og interne folk kan medvirke.

Et årshjul for sikkerhedstesten kan derfor have flere punkter:

Beslutning om næste test · formål, omfang og tidspunkt besluttes eller bekræftes.
Resultatet fremlægges · med plan og de beslutninger, bestyrelsen skal træffe.
Status på opfølgningen · på de følgende møder, indtil de væsentlige fund er håndteret.
Evaluering · fik bestyrelsen det, den havde brug for, og skal noget ændres til næste gang?

Den præcise rækkefølge afhænger af virksomheden. Det vigtige er, at punkterne står i årshjulet og ikke kun i direktionens kalender. Så bliver det synligt for hele bestyrelsen, hvis et punkt glider, og nye medlemmer kan se, hvordan sikkerheden behandles. → Flerårig testplan

Hyppighed er en beslutning

Hvor ofte der skal testes, afhænger af, hvor hurtigt virksomheden ændrer sig, hvilke krav den møder fra kunder og myndigheder, og hvor meget risiko bestyrelsen vil acceptere. Der er ingen universel frekvens. NCSC’s vejledning til bestyrelser nævner selv, at organisationer i forandring eller under større trusler kan have brug for at se på risiciene oftere.

Årshjulet bør derfor ikke låse hyppigheden fast for altid. Det bør indeholde et punkt, hvor bestyrelsen tager stilling til, om den nuværende rytme stadig passer. → Hvem bestemmer, hvor ofte der testes?

Når noget sker uden for årshjulet

Årshjulet er en plan, ikke en spændetrøje. Hvis virksomheden indfører et nyt kritisk system, skifter driftsleverandør, eller en kunde stiller nye krav, kan det være nødvendigt med en test, der ikke står i planen. Det samme gælder, hvis en hændelse giver grund til at tvivle på et område, der ellers først skulle testes næste år. I den situation er det bedre at teste nu og justere planen bagefter end at vente på det planlagte tidspunkt, fordi årshjulet siger det.

Bestyrelsen bør aftale med direktionen, hvornår den skal orienteres om sådanne ændringer, så årshjulet kan justeres. En ekstra test kan få betydning for budgettet, og det er bedre at drøfte det, før behovet opstår. → Risikovillighed

Et tænkt eksempel

En medicovirksomhed med en bestyrelse på fem medlemmer har tidligere behandlet sikkerhed, når IT-chefen bad om det. Bestyrelsen beslutter at give testen en fast plads. Budgettet for næste år lægges på novembermødet, så resultatet af årets test skal foreligge på septembermødet. Beslutningen om omfang tages på martsmødet, og status på opfølgningen står på dagsordenen i juni og november.

Det første år viser sig, at septembermødet kom for tidligt, fordi leverandøren havde travlt i sommerferien. Bestyrelsen flytter beslutningen om omfang til januar, så der er tid til at aftale testen med leverandøren før sommer. Ændringen står i referatet, så den ikke glemmes, når bestyrelsen skifter sammensætning.

Det skal I lade være med

At lægge testen i årshjulet uden at koble den til en beslutning · så bliver den en rutine uden formål.
At glemme, at testen tager tid · regn baglæns fra det møde, hvor resultatet skal bruges.
At kun have resultatet i årshjulet · opfølgningen skal også have plads.
At låse hyppigheden fast · tag stilling til rytmen med jævne mellemrum.
At lade årshjulet forhindre en nødvendig ekstra test · justér planen, når virkeligheden ændrer sig.

Hvad kan og ikke kan konkluderes

En fast plads i årshjulet sikrer, at sikkerhedstesten bliver behandlet regelmæssigt og i sammenhæng med budget, risiko og strategi. Den sikrer ikke, at testen har det rigtige omfang, eller at resultatet bliver fulgt op. Det kræver stadig, at bestyrelsen stiller spørgsmål og holder direktionen fast på planen. Et punkt, der står i årshjulet, men altid bliver udskudt til næste møde, er et tegn på, at prioriteringen ikke er reel, og det bør bestyrelsen tage op. Årshjulet er en ramme, ikke en garanti. → Hvad bør stå i referatet?

Tjekliste til årshjulet

☐ Er testen koblet til budget, risikodrøftelse eller strategi?
☐ Ved vi, hvornår resultatet skal foreligge, og har vi regnet baglæns?
☐ Har opfølgningen sine egne punkter?
☐ Tager bestyrelsen stilling til hyppigheden med jævne mellemrum?
☐ Er det aftalt, hvornår bestyrelsen orienteres om ændringer uden for planen?

Kilder

sikkerdigital.dk, Bestyrelsens tjekliste til digital ansvarlighed (2024): spørgsmålene om IT-sikkerhed som fast del af bestyrelsens årshjul og om løbende rapportering til bestyrelsen.
NCSC (UK), Cyber security 101 for board members: bestyrelsen bør modtage ledelsesinformation om gennemførelsen af sikkerhedsstrategien og planen, og den bør gennemgås mindst en gang om året.
NCSC (UK), Cyber Security Toolkit for Boards: organisationer i forandring eller under større trusler kan have brug for at gennemgå risiciene oftere; ledelsen aftaler rytmen.

Senest gennemgået: oktober 2026.