Bestyrelsen beder om en sikkerhedstest: sådan griber direktionen det an

En beslutning i bestyrelsen om, at virksomheden skal have en sikkerhedstest, er en klar bestilling, men ikke nødvendigvis en præcis en. Bestyrelsen siger hvad, men ikke altid hvorfor, hvor meget eller hvordan svaret skal se ud. Direktionens opgave er at omsætte beslutningen til en opgave, der giver bestyrelsen det, den faktisk har brug for.

Det sker i tre trin: afklar formålet med bestyrelsen, fastlæg omfanget og rammerne, og aftal, hvordan resultatet kommer tilbage. Hvis de tre ting er på plads, bliver testen et redskab for bestyrelsens tilsyn i stedet for en rapport, ingen helt ved, hvad de skal stille op med.

Find ud af, hvad der ligger bag ønsket

Bestyrelser kan bede om test af forskellige grunde. Det kan være en hændelse hos en anden virksomhed, et spørgsmål fra revisor, et krav fra en stor kunde, en ny strategi eller et bestyrelsesmedlem, der har hørt om emnet i en anden bestyrelse. Grunden har betydning for, hvad testen skal svare på.

Tag derfor en kort samtale med formanden eller det bestyrelsesmedlem, der rejste spørgsmålet. Spørg, hvad der udløste ønsket, hvilke hændelser bestyrelsen er mest bekymret for, og hvad den vil gøre med svaret. Skal det bruges til at vurdere direktionens arbejde med sikkerheden, til at prioritere budget eller til at svare en kunde? Hvordan bekymringen oversættes til testbare spørgsmål, er beskrevet særskilt. → Hvad vil vi vide?

På sikkerdigital.dk understreges det, at ansvaret for virksomhedens digitale ansvarlighed starter i toppen. Når bestyrelsen selv har taget initiativet, er det et godt udgangspunkt. Direktionens opgave er at sørge for, at initiativet bliver til noget brugbart.

Fastlæg omfanget, og sig det højt

Når formålet er klart, skal direktionen sammen med IT og eventuelt en tester afgøre, hvad der kan testes inden for den tid og det budget, der er til rådighed. Det kræver en prioritering. Ikke alt kan testes på én gang, og et grundigt svar om det vigtigste er mere værd end et overfladisk svar om det hele.

Fortæl bestyrelsen, hvad der er valgt, og hvad der er fravalgt, før testen går i gang. Det forhindrer, at resultatet senere bliver læst som et svar om hele virksomheden. Det giver også bestyrelsen mulighed for at sige, hvis prioriteringen ikke svarer til dens bekymring. → Hvad bestemmer omfanget?

Budgettet hører med i samme drøftelse. Hvis bestyrelsen har bedt om testen, bør den også tage stilling til, at der kommer udgifter til rettelser bagefter. Det er bedre at sige det nu end at komme tilbage med en regning, ingen havde regnet med.

Hvem skal udføre testen?

Når bestyrelsen har bestilt testen, er det særligt vigtigt, at resultatet er troværdigt. Hvis den leverandør, der driver systemerne, også tester dem, kan bestyrelsen have svært ved at skelne mellem kontrol og egenvurdering. En uafhængig tester giver et resultat, som bestyrelsen kan stole på, uden at det udtrykker mistillid til IT eller driftsleverandøren.

Direktionen bør også overveje, om bestyrelsen skal have mulighed for at stille spørgsmål direkte til testeren. Det kan ske på et møde eller skriftligt. Det er ikke altid nødvendigt, men muligheden kan styrke tilliden til resultatet. → Et uafhængigt blik

Tag IT og leverandørerne med fra start

En test, som bestyrelsen har bestilt, kan opleves som en kontrol af dem, der passer systemerne. Det er den også, men den behøver ikke blive opfattet som et udtryk for mistillid. Fortæl IT-chefen eller driftsleverandøren tidligt, hvorfor bestyrelsen har bedt om testen, og hvilken rolle de skal spille. De skal hjælpe med at forberede opgaven, give de nødvendige tilladelser og stå for en stor del af rettelserne bagefter.

Når de er med fra begyndelsen, bliver forberedelsen bedre, og modstanden mindre. Det gør også fremlæggelsen lettere, fordi IT kan komme med et forslag til opfølgning samtidig med, at resultatet præsenteres.

Aftal tilbagemeldingen på forhånd

Bestem allerede ved bestillingen, hvordan resultatet skal præsenteres for bestyrelsen. Det bør være et kort resumé i forretningssprog, der svarer på de spørgsmål, bestyrelsen stillede, beskriver de vigtigste fund og deres betydning, og peger på de beslutninger, bestyrelsen skal træffe. Den tekniske rapport er til IT og leverandørerne.

Aftal også tidspunktet. Hvis bestyrelsen mødes kvartalsvis, skal testen planlægges, så resultatet og en første plan for opfølgning kan nå at blive behandlet på et møde. Ellers går der lang tid, før bestyrelsen hører noget. → Ledelsesresuméet

Gør det klart, at fund er forventede. En test, der bliver bestilt af bestyrelsen, kan let blive opfattet som en eksamen for direktionen eller IT. Hvis direktionen på forhånd forklarer, at formålet er at finde svagheder, ikke at bestå, bliver det lettere at fremlægge et resultat med alvorlige fund. → Når resultatet er dårligt

Opfølgningen er bestyrelsens egentlige værktøj

En enkelt test giver bestyrelsen et øjebliksbillede. Det, der giver bestyrelsen mulighed for at føre tilsyn, er opfølgningen: en plan for rettelser med ansvarlige og tidsramme, og en status ved de næste møder. Aftal, hvem i direktionen der rapporterer, og hvor ofte.

Det britiske NCSC har udgivet et værktøj til bestyrelser, der skal hjælpe bestyrelser med at forankre robusthed og risikostyring i hele organisationen. En test er et af flere redskaber i det arbejde, og den giver mest værdi, når den indgår i bestyrelsens faste tilsyn og ikke står alene. → Spørgsmål, bestyrelsesmedlemmer kan stille

Det skal I lade være med

At gå direkte til bestilling · afklar først, hvad bestyrelsen vil vide og hvorfor.
At vælge omfanget i stilhed · fortæl bestyrelsen, hvad der er med, og hvad der ikke er.
At lade driftsleverandøren teste sig selv · bestyrelsen har brug for et uafhængigt resultat.
At fremlægge den tekniske rapport · bestyrelsen skal have et resumé med beslutningspunkter.
At glemme budgettet til rettelser · tag det med i samme beslutning.
At lade testen stå alene · opfølgningen er det, bestyrelsen kan føre tilsyn med.

Hvad kan og ikke kan konkluderes

Når direktionen afklarer formål, omfang og tilbagemelding, kan en test give bestyrelsen et konkret og dokumenteret svar på de spørgsmål, den stillede, og et grundlag for at følge rettelserne.

Testen kan ikke give bestyrelsen et svar på, om virksomheden som helhed er sikker, og den erstatter ikke bestyrelsens egen vurdering af risici og direktionens løbende arbejde med sikkerheden.

Tjekliste, når bestyrelsen har bedt om en test

☐ Ved vi, hvad der udløste bestyrelsens ønske?
☐ Er bestyrelsens bekymringer oversat til konkrete spørgsmål?
☐ Er bestyrelsen orienteret om omfang og fravalg?
☐ Er der taget stilling til budget til rettelser?
☐ Udføres testen af en uafhængig part?
☐ Er form og tidspunkt for tilbagemeldingen aftalt?
☐ Er det aftalt, hvem der rapporterer om opfølgningen?

Kilder

sikkerdigital.dk: Bestyrelsen: ansvaret for digital ansvarlighed starter i toppen, med tjekliste til bestyrelser.
NCSC (UK): Cyber Security Toolkit for Boards: bestyrelsens rolle i at forankre robusthed og risikostyring.

Senest gennemgået: oktober 2026.