Bestyrelsens tilsyn med opfølgningen: hvornår er sagen lukket?

Når en sikkerhedstest har været behandlet i bestyrelsen, er risikoen, at punktet glider af dagsordenen, så snart planen er godkendt. Bestyrelsen har så set problemet, men ikke løsningen. Svaret på, hvornår sagen kan lukkes, hviler på en enkel skelnen: bestyrelsen lukker ikke risikoen, den lukker sit tilsyn med en bestemt opfølgning. Det kan den gøre, når den har set dokumentation for, at de alvorlige forhold er håndteret, at resten har en ejer, og at erfaringerne er ført videre til næste beslutning.

Tilsyn betyder at se det ført ud i livet

I aktie- og anpartsselskaber skal bestyrelsen efter selskabslovens § 115 blandt andet påse, at der er de fornødne procedurer for risikostyring og interne kontroller, og at direktionen udøver sit hverv på en behørig måde og efter bestyrelsens retningslinjer. Loven nævner ikke IT-sikkerhed særskilt, men en godkendt plan efter en sikkerhedstest er netop en af de retningslinjer, bestyrelsen kan følge.

Styrelsen for Samfundssikkerhed beskriver i sin vejledning om ledelsens rolle under NIS 2-loven, at ledelsen skal følge op på og føre kontrol med, at de sikkerhedstiltag, den har iværksat, bliver realiseret og har den ønskede virkning. Vejledningen er skrevet til virksomheder, der er omfattet af loven, men beskrivelsen er en brugbar målestok for enhver bestyrelse. Tilsyn er ikke at godkende en plan. Det er at se, at planen virker. Teksten er ikke juridisk rådgivning. → Ledelsens ansvar for IT-sikkerhed

Hvad bestyrelsen bør have set, før den lukker punktet

Der er fire ting, som bør være på plads, før bestyrelsen betragter sagen som afsluttet.

De alvorlige fund er rettet og efterprøvet · det er ikke nok, at IT melder dem lukket. Nogen, der ikke har lavet rettelsen, bør have bekræftet, at den virker. → Bliver fundene rettet?
De resterende fund har en ejer · mindre fund kan godt stå åbne, når det er besluttet, hvem der tager sig af dem, og hvornår direktionen rapporterer om dem.
Accepterede risici er besluttet af den rette · hvis et fund ikke rettes, skal det være en bevidst beslutning med en begrundelse, truffet på det niveau, som risikoen kræver.
Erfaringerne er ført videre · resultatet har påvirket næste test, budgettet eller den måde, systemer bliver købt og sat op på.

Hvis et af punkterne mangler, er sagen ikke lukket. Den kan godt flyttes fra et fast punkt til en del af den løbende rapportering, men den skal ikke forsvinde.

Lukket for bestyrelsen er ikke lukket for direktionen

Bestyrelsens tilsyn og direktionens opfølgning har forskellige slutpunkter. Direktionen arbejder videre med de mindre fund, med oprydning og med at holde systemerne opdateret. Bestyrelsen har brug for at vide, at det sker, men ikke at følge hvert skridt.

Det er derfor rimeligt, at bestyrelsen lukker sit særskilte punkt, når de alvorlige forhold er håndteret, og lader resten indgå i den almindelige rapportering om risici. Direktionens egne kriterier for at afslutte testen kan være mere detaljerede. → Hvornår kan ledelsen betragte testen som afsluttet?

Måder at føre tilsynet på

Vejledningen fra Styrelsen for Samfundssikkerhed nævner flere måder, tilsyn kan foregå på: periodiske ledelsesrapporter med status på mål, handleplaner og udvalgte nøgletal, intern revision, der rapporterer til ledelsen, og ekstern revision, der rapporterer sine resultater til ledelsen. For en bestyrelse efter en sikkerhedstest kan det oversættes til tre greb.

Kort, fast statusrapport · samme opbygning hver gang, så bestyrelsen kan se udviklingen. → Status på rettelserne
Efterprøvning udefra · en ny test eller en kontrol af de alvorlige rettelser, udført af en anden end den, der rettede.
Spot-tjek af beslutninger · bestyrelsen kan bede om at se begrundelsen for en accepteret risiko.

Valget afhænger af virksomhedens størrelse og af, hvor alvorligt resultatet var. En lille virksomhed med få fund kan nøjes med en statusrapport og en efterprøvning af det alvorligste. En større virksomhed med mange afhængigheder kan have brug for alle tre greb. Det vigtige er, at bestyrelsen selv bestemmer, hvilken dokumentation den vil se, og ikke kun får det, der er let at levere.

Når opfølgningen trækker ud

Nogle gange når bestyrelsen ikke frem til at kunne lukke punktet. Rettelserne er forsinkede, en leverandør har ikke leveret, eller de folk, der skulle rette, er bundet af andre opgaver. Her er bestyrelsens rolle ikke at overtage opfølgningen, men at spørge til årsagen og tage stilling til, om planen skal ændres.

Bed direktionen om at skelne mellem forsinkelser, der skyldes prioritering, og forsinkelser, der skyldes manglende ressourcer eller afhængighed af andre. De kræver forskellige beslutninger. En prioritering kan bestyrelsen udfordre. Manglende ressourcer kan kræve, at bestyrelsen bevilger mere eller accepterer en risiko i længere tid. → Når rettelserne går i stå

Under alle omstændigheder bør en forsinkelse være synlig i referatet. En sag, der står stille uden at være nævnt, er sværere at forklare bagefter end en sag, hvor bestyrelsen bevidst har accepteret, at den tager længere tid.

Et tænkt eksempel

En grossist i reservedele til landbrugsmaskiner har fået testet sin webshop og forbindelsen til lagersystemet. Bestyrelsen godkendte en plan med tre alvorlige fund og ti mindre.

På næste møde melder direktøren, at de tre alvorlige fund er rettet. Et bestyrelsesmedlem spørger, om nogen har kontrolleret det. Det er ikke sket. Bestyrelsen beslutter at holde punktet åbent, indtil testeren har efterprøvet rettelserne. Mødet efter ligger der en kort bekræftelse fra testeren, og direktøren viser, at de ti mindre fund har en ejer og en plan. Bestyrelsen lukker sit særskilte punkt og beslutter, at status på de mindre fund indgår i den halvårlige risikorapport.

Det skal I lade være med

At lukke sagen, når planen er godkendt · tilsynet begynder først der.
At nøjes med en melding om, at fund er rettet · bed om efterprøvning af de alvorlige.
At lade punktet forsvinde uden beslutning · luk det bevidst og notér det i referatet.
At følge hvert mindre fund i bestyrelsen · det hører hjemme hos direktionen.
At glemme læringen · en lukket sag bør have påvirket næste beslutning.

Hvad kan og ikke kan konkluderes

Når bestyrelsen lukker sit tilsyn på et dokumenteret grundlag, kan den vise, at den har fulgt en kendt risiko til ende, og at direktionen har gennemført det besluttede. Det betyder ikke, at virksomheden er uden svagheder. Nye systemer, ændringer og nye trusler gør, at sikkerhed aldrig er en lukket sag, kun den enkelte opfølgning er.

Tjekliste, før bestyrelsen lukker punktet

☐ Er de alvorlige fund rettet og efterprøvet af en anden end den, der rettede?
☐ Har de resterende fund en ejer og en plan?
☐ Er accepterede risici besluttet og begrundet?
☐ Har resultatet påvirket næste test eller budget?
☐ Er det ført til referat, at punktet er lukket, og hvorfor?

Kilder

Selskabsloven, LBK nr. 331 af 28/03/2025: § 115, nr. 2 og 4, om procedurer for risikostyring og interne kontroller og om at påse, at direktionen udøver sit hverv efter bestyrelsens retningslinjer.
Styrelsen for Samfundssikkerhed, Vejledning om ledelsens rolle og opgaver (maj 2025): afsnittet om ledelsens tilsyn med, at sikkerhedstiltag realiseres og har den ønskede virkning, og om ledelsesrapporter, intern og ekstern revision.

Senest gennemgået: oktober 2026.