Bestyrelsens egen viden om IT‑sikkerhed: hvor meget er nok?

En bestyrelse, der skal føre tilsyn med en sikkerhedstest, behøver ikke kunne læse den tekniske rapport, men den skal kunne forstå, hvad resultatet betyder, og stille spørgsmål, der afslører, om opfølgningen holder. Svaret på, hvor meget viden der er nok, hviler derfor på bestyrelsens opgave og ikke på teknikken: viden nok til at vurdere risici, træffe beslutninger og følge op. Den viden skal findes i bestyrelsen som helhed, ikke nødvendigvis hos hvert enkelt medlem.

Målestokken er opgaven

Bestyrelsens opgave er at sætte rammer, træffe de store beslutninger og føre tilsyn. Når emnet er en sikkerhedstest, betyder det tre ting. Bestyrelsen skal kunne forstå, hvorfor der testes, og hvad testen ikke dækker. Den skal kunne tage stilling til, hvilke risici der accepteres, og hvad der skal bruges penge på. Og den skal kunne se, om det besluttede bliver gennemført.

Ingen af de tre kræver, at bestyrelsen forstår, hvordan en svaghed blev fundet. De kræver, at bestyrelsen kender virksomhedens vigtigste systemer og data, forstår forskellen på en test og en garanti og kan genkende et svar, der undviger spørgsmålet. → Hvad testen kan svare på

Hvad reglerne siger for virksomheder under NIS2

For virksomheder, der er omfattet af NIS2, er spørgsmålet også formelt. NIS2-direktivet siger i artikel 20, stk. 2, at medlemmerne af ledelsesorganerne skal følge kurser, så de opnår tilstrækkelige kundskaber og færdigheder til at identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici. I Danmark er kravet gennemført i NIS 2-loven, hvor § 7, stk. 2, siger, at medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici.

Styrelsen for Samfundssikkerhed uddyber kravet i sin vejledning om ledelsens rolle og opgaver. Ifølge vejledningen er der ikke et specifikt krav til kursernes form og indhold, og det er ikke et krav, at alle eller et bestemt antal medlemmer har gennemført kurser. Men ledelsesorganet skal som kollektiv have de fornødne kompetencer, og kurserne skal gøre ledelsen i stand til at vurdere risici, træffe beslutning om og følge op på foranstaltningerne. Deltagelsen skal kunne dokumenteres, for eksempel med et kursusbevis.

Om virksomheden er omfattet, skal vurderes konkret. Teksten er ikke juridisk rådgivning. → NIS2 og ledelsen

Selv for virksomheder uden for loven er formuleringen en brugbar målestok. Den handler om at kunne vurdere og følge op, ikke om at kunne udføre.

Tegn på, at viden mangler

Det kan være svært for en bestyrelse at vurdere sin egen viden. Nogle tegn peger dog på, at den ikke er tilstrækkelig.

Ingen spørger · sikkerhedspunktet tages til efterretning uden drøftelse.
Én taler for alle · det ene medlem med IT-erfaring er blevet hele bestyrelsens stemme.
Svarene accepteres ukritisk · et svar med fagudtryk bliver ikke fulgt op af et hvorfor.
Testen opfattes som godkendelse · en rapport uden alvorlige fund bliver læst som bevis på, at alt er i orden.
Opfølgningen glemmes · ingen husker at spørge, om de alvorlige fund blev rettet.

Tegnene handler ikke om manglende teknisk indsigt, men om manglende vane med at stille de rigtige spørgsmål. → Spørgsmål, bestyrelsesmedlemmer kan stille

Sådan opbygges viden i bestyrelsen

Der er flere veje, og de kan kombineres.

Kurser for bestyrelsen · generelle kurser i styring af cyberrisici eller workshops tilrettelagt for virksomhedens egen bestyrelse.
En gennemgang efter testen · når resultatet foreligger, kan direktionen eller testeren bruge en del af mødet på at forklare, hvad testen kan og ikke kan. Det lærer bestyrelsen mere end en generel præsentation. → Skal testeren selv fremlægge for bestyrelsen?
Rekruttering · når en plads i bestyrelsen skal besættes, kan erfaring med risikostyring eller digital drift være et af kriterierne.
Ekstern sparring · en uafhængig rådgiver kan hjælpe bestyrelsen med at læse et oplæg kritisk, uden at rådgiveren overtager bestyrelsens ansvar.

Uanset vej er det en god idé, at bestyrelsen en gang imellem drøfter, om dens samlede viden passer til de risici, virksomheden står over for. Det kan være en del af den årlige evaluering af bestyrelsens arbejde.

Hvem sørger for, at viden er der?

Når ansvaret er fælles, risikerer det at blive ingens. Det er naturligt, at formanden tager initiativet, fordi formanden i forvejen tilrettelægger bestyrelsens arbejde og står for evalueringen af det. Formanden behøver ikke selv have den største viden, men bør sikre, at bestyrelsen som helhed har den.

Direktionen har også en rolle. Den kender virksomhedens systemer og risici og kan foreslå, hvad bestyrelsen har brug for at vide, før en test bestilles, og når resultatet kommer. En direktion, der forklarer sit oplæg i forretningens sprog, gør det lettere for bestyrelsen at stille gode spørgsmål. → Sikkerhedssprog for ledere

Endelig har hvert medlem et personligt ansvar for at sige til, når et oplæg ikke er til at forstå. Et spørgsmål, der føles for enkelt, kan være det, der får det vigtigste frem.

Et tænkt eksempel

Et vandværk, der er omfattet af NIS 2-loven, har en bestyrelse med fem medlemmer, valgt blandt forbrugerne. Ingen af dem har arbejdet med IT. Direktøren foreslår, at bestyrelsen deltager i et halvdagskursus om styring af cyberrisici, og at testeren bruger en halv time på næste møde til at forklare resultatet af årets test af styringssystemet.

Efter mødet spørger et bestyrelsesmedlem for første gang, hvad testen ikke omfattede. Svaret er, at fjernadgangen for den eksterne servicepartner ikke var med. Bestyrelsen beslutter, at den skal med næste gang. Kurset gav begreberne. Gennemgangen af testen gav et konkret spørgsmål at stille. Bestyrelsen beslutter samtidig at gentage kurset, når der kommer nye medlemmer, og at gemme kursusbeviserne sammen med referatet.

Det skal I lade være med

At forveksle viden med teknisk ekspertise · bestyrelsen skal kunne spørge og følge op.
At overlade emnet til ét medlem · ansvaret er fælles.
At sende alle på samme kursus og stoppe der · kombinér kurser med gennemgang af virksomhedens egne resultater.
At glemme dokumentationen · gem kursusbeviser, hvis virksomheden er omfattet af NIS 2-loven.
At undlade at evaluere · drøft jævnligt, om den samlede viden passer til risikoen.

Hvad kan og ikke kan konkluderes

En bestyrelse med tilstrækkelig viden kan stille spørgsmål, der får svaghederne i opfølgningen frem, og tage informerede beslutninger om risiko og ressourcer. Kurser og gennemgange gør den ikke i stand til at vurdere tekniske løsninger, og det er heller ikke målet.

Tjekliste til bestyrelsens viden

☐ Kan bestyrelsen forklare, hvad testen dækkede, og hvad den ikke dækkede?
☐ Er viden om sikkerhed fordelt på flere medlemmer?
☐ Er det afklaret, om virksomheden er omfattet af NIS 2-lovens krav om kurser?
☐ Er kursusdeltagelse dokumenteret, hvor det kræves?
☐ Drøfter bestyrelsen jævnligt, om dens viden passer til risikoen?

Kilder

NIS2-direktivet (EU) 2022/2555: artikel 20, stk. 2, om kurser for medlemmerne af ledelsesorganerne.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 7, stk. 2, om ledelsesorganets deltagelse i relevante kurser.
Styrelsen for Samfundssikkerhed, Vejledning om ledelsens rolle og opgaver (maj 2025): afsnittene om kurser og kompetencer, herunder kursernes formål, ledelsesorganets kollektive kompetencer og dokumentation.

Senest gennemgået: oktober 2026.