Når en virksomhed får en sikkerhedstest, kan det være uklart, hvad bestyrelsen skal vide, og hvad direktionen skal beslutte. Uklarheden fører enten til, at bestyrelsen blander sig i detaljer, eller til, at den aldrig hører om resultatet. Svaret hviler på den almindelige arbejdsdeling i selskabet: direktionen beslutter, gennemfører og følger op, mens bestyrelsen sætter rammerne og fører tilsyn med, at det sker. Testen ændrer ikke den fordeling, men den gør det tydeligt, om den fungerer.
Grundlaget for fordelingen
I aktie- og anpartsselskaber med en bestyrelse siger selskabsloven § 115 blandt andet, at bestyrelsen skal sikre en forsvarlig organisation og påse, at der er de fornødne procedurer for risikostyring og interne kontroller, og at direktionen udøver sit hverv på en behørig måde og efter bestyrelsens retningslinjer. Efter § 117 varetager direktionen den daglige ledelse, men dispositioner af usædvanlig art eller stor betydning kræver særlig bemyndigelse fra bestyrelsen.
Det britiske NCSC’s kodeks for ledelse af cyberrisici, som er frivilligt, peger i samme retning: der bør være en ledelsesstruktur for cyberrisici med klart definerede roller for både den daglige ledelse og bestyrelsen. Teksten er ikke juridisk rådgivning, og fordelingen kan se anderledes ud i andre selskabsformer, i fonde og i ejerledede virksomheder. → Direktøren er også IT-ansvarlig
Før testen
Før testen bestilles, har de to organer hver sin opgave.
- Bestyrelsen · fastlægger den overordnede ramme: hvor meget sikkerhedsrisiko virksomheden vil leve med, og hvilke systemer og data der er så vigtige, at bestyrelsen vil have et uafhængigt billede af dem. Bestyrelsen kan også bede om, at sikkerhedstest indgår i årshjulet.
- Direktionen · beslutter, hvad der konkret testes, hvornår og inden for hvilket budget. Direktionen udpeger en ejer i ledelsen og sørger for, at der er afsat ressourcer til rettelser. → Hvem i ledelsen skal eje sikkerhedstesten?
Hvis testen kræver en investering eller en risiko, der er usædvanlig for virksomheden, for eksempel en test af systemer, hvis nedbrud kan stoppe produktionen, kan det være et emne for bestyrelsen. Det afhænger af virksomhedens forhold og af de retningslinjer, bestyrelsen har givet.
Mens testen står på
Under selve testen er det direktionens opgave at holde styr på forløbet sammen med IT og testeren. Bestyrelsen behøver normalt ikke at høre om den, før den er færdig.
Der er dog en undtagelse. Hvis testen afslører noget alvorligt, for eksempel tegn på, at nogen allerede har været inde i systemerne, eller en svaghed, der kan få betydning for kunder eller myndigheder, bør direktionen overveje at orientere formanden med det samme. Det er en god idé på forhånd at aftale, hvad der udløser en sådan orientering. Så skal direktionen ikke vurdere det i en presset situation, og formanden ved, at stilhed betyder, at intet alvorligt er dukket op. → Bestyrelsens tilsyn
Når resultatet foreligger
Efter testen skal begge organer bruge resultatet, men på hver sin måde.
- Direktionen · gennemgår resultatet med IT og eventuelt testeren, beslutter hvad der skal rettes, i hvilken rækkefølge og af hvem, og tager stilling til, hvilke risici der accepteres.
- Bestyrelsen · får en kort fremlæggelse af, hvad der blev testet, hvad der blev fundet af betydning for forretningen, hvad direktionen har besluttet, og hvad det kræver af ressourcer.
- Begge · aftaler, hvornår bestyrelsen hører om status igen.
Bestyrelsen skal ikke have den tekniske rapport. Den skal have det, der gør den i stand til at vurdere, om direktionens beslutninger er forsvarlige. Et dårligt resultat bør fremlægges lige så åbent som et godt.
Et tænkt eksempel: I en virksomhed, der driver plejehjem på kontrakt med kommuner, fremlægger direktøren testen på et bestyrelsesmøde. Fremlæggelsen fylder to sider. Den forklarer, at testen omfattede journalsystemet og medarbejdernes fjernadgang, at der var et alvorligt fund i fjernadgangen, som er rettet, og at to mindre fund er accepteret, fordi systemet udskiftes til næste år. Bestyrelsen spørger, hvem der har accepteret risikoen, og om udskiftningen er besluttet. Svarene står i referatet, og punktet sættes på igen ved mødet efter udskiftningen. Ingen i bestyrelsen har læst den tekniske rapport, og det har heller ikke været nødvendigt. → Et dårligt resultat til bestyrelsen
Opfølgningen er bestyrelsens prøvesten
Den vigtigste del af bestyrelsens tilsyn kommer ikke ved fremlæggelsen, men ved de næste møder. Er de alvorlige fund rettet? Er de accepterede risici stadig acceptable? Går rettelserne i stå, og i så fald hvorfor? Bestyrelsen kan stille spørgsmålene uden at kende teknikken. Det hjælper, hvis status fremlægges på samme måde hver gang, så bestyrelsen kan se udviklingen fra møde til møde.
Direktionen skal kunne svare, og det kræver, at nogen holder styr på status. Hvis direktionen ikke kan svare, er det et tegn på, at ejerskabet eller ressourcerne ikke er på plads, og det er netop det, bestyrelsen skal opdage. → Spørgsmål, bestyrelsen kan stille
Når organerne er uenige
Bestyrelse og direktion kan være uenige, for eksempel om en risiko skal accepteres, eller om rettelserne skal have penge frem for et andet projekt. Det er ikke usundt, og det kan være et tegn på, at bestyrelsen tager sit tilsyn alvorligt, og at direktionen tør sige fra, når en ramme ikke passer til virkeligheden. Det vigtige er, at uenigheden bliver drøftet på et møde og ført til referat, og at den endelige beslutning træffes af det organ, der har kompetencen. Det gør det også lettere senere at vise, hvordan ledelsen vurderede risikoen. → Uenighed mellem bestyrelse og direktion
Det skal I lade være med
- At lade bestyrelsen styre testen i detaljer · det udvisker ansvaret for gennemførelsen.
- At holde bestyrelsen uden for, indtil der sker noget · tilsyn kræver løbende orientering.
- At give bestyrelsen den tekniske rapport i stedet for en fremlæggelse · den kan ikke bruges til tilsyn.
- At glemme at aftale, hvad der kræver straks-orientering · så bliver det en vurdering i en presset situation.
- At stoppe tilsynet ved fremlæggelsen · det vigtigste er opfølgningen.
Hvad kan og ikke kan konkluderes
En klar rollefordeling gør det mere sandsynligt, at testen fører til beslutninger, og at bestyrelsen opdager, hvis opfølgningen svigter. Den garanterer ikke, at sikkerheden er tilstrækkelig, og den afgør ikke, hvem der bærer ansvaret i en konkret sag. Det afhænger af selskabsform, vedtægter, forretningsorden og de faktiske forhold.
Tjekliste: er rollerne på plads?
- ☐ Har bestyrelsen fastlagt rammen for, hvor meget risiko virksomheden vil leve med?
- ☐ Har direktionen udpeget en ejer af testen?
- ☐ Er det aftalt, hvad der udløser en straks-orientering af formanden?
- ☐ Får bestyrelsen en fremlæggelse, ikke kun rapporten?
- ☐ Står opfølgningen på dagsordenen ved et senere møde?
- ☐ Bliver uenigheder ført til referat?
Kilder
- Selskabsloven, LBK nr. 331 af 28/03/2025: § 115, herunder nr. 2 og 4, om bestyrelsens opgaver, procedurer for risikostyring og interne kontroller og tilsyn med direktionen; § 117, stk. 1, om direktionens daglige ledelse og dispositioner af usædvanlig art eller stor betydning.
- NCSC og UK Government, Cyber Governance Code of Practice: princip E1 om en ledelsesstruktur for cyberrisici med klart definerede roller i direktion og bestyrelse.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Årshjul for bestyrelsen · Revisionsudvalget · Den rådgivende bestyrelse og sikkerhedstesten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
