Frivillig bestyrelse i en forening eller selvejende institution: hvem beslutter testen, og hvem følger op?

I en forening, en friskole eller en kulturinstitution kan det være en ulønnet bestyrelse og ikke en ansat direktion, der sidder med ansvaret for medlemsregistre, elevdata og økonomi. Spørgsmålet om en sikkerhedstest kommer derfor til mennesker, der har et andet arbejde, og som kan være væk efter næste generalforsamling. Svaret på, hvem der beslutter og følger op, hviler på to ting: vedtægterne afgør, hvem der har kompetencen, og opfølgningen skal knyttes til poster og dokumenter frem for til de personer, der tilfældigvis sidder i bestyrelsen nu.

Ansvaret er det samme, selv om hvervet er frivilligt

At bestyrelsen er ulønnet, ændrer ikke ved, at foreningen eller institutionen behandler oplysninger om medlemmer, frivillige, elever eller forældre. Databeskyttelsesforordningens artikel 32 kræver passende tekniske og organisatoriske foranstaltninger og nævner blandt andet en procedure for regelmæssig afprøvning, vurdering og evaluering af, om foranstaltningerne virker. Datatilsynet skriver i sit materiale til små foreninger, at cyberangreb rammer både små og store foreninger, og at det er foreningens ansvar at stille de rigtige krav, hvis IT-driften er lagt ud til en leverandør.

For frie grundskoler siger friskoleloven § 5, stk. 7, at den overordnede ledelse varetages af en bestyrelse, som er ansvarlig for skolens drift over for undervisningsministeren. Efterskoleloven § 7, stk. 1, har en tilsvarende regel for efterskoler og frie fagskoler. Teksten er ikke juridisk rådgivning, og hvad der gælder for netop jeres forening eller institution, står i vedtægterne og i den lovgivning, der gælder for jer.

Hvem beslutter og bevilger

Det første spørgsmål er, hvem der må sige ja. I nogle foreninger kan bestyrelsen selv bruge penge inden for et budget, generalforsamlingen har godkendt. I andre skal større udgifter forelægges generalforsamlingen. I en selvejende institution med en daglig leder kan beslutningen ligge hos lederen inden for de rammer, bestyrelsen har givet.

Læs vedtægterne · hvem har kompetencen til udgifter af den størrelse, og skal generalforsamlingen inddrages?
Brug budgettet · en post til IT-sikkerhed gør det lettere at beslutte en test uden ekstraordinær generalforsamling. → Sikkerhedstest som fast budgetpost
Skriv beslutningen ned · i bestyrelsens referat, med formål og omfang.
Tænk rettelserne med · en test uden penge til at rette det, der findes, giver kun en liste. → Budget til rettelser

Hvad der påvirker omfanget af en test, og hvordan opgaver prissættes, kan I se under pris og tilbud.

Hvem ejer testen i en frivillig bestyrelse?

I en virksomhed udpeges en ejer i direktionen. I en frivillig bestyrelse er der ingen direktion, og alle har begrænset tid. Bestyrelsen kan derfor give opgaven til en post frem for til en person, for eksempel kassereren, næstformanden eller et IT-ansvarligt medlem. Posten følger med, når personen skifter.

Hvis foreningen har en ansat sekretær eller leder, kan den daglige kontakt til testeren og IT-leverandøren ligge dér, mens bestyrelsen beslutter og følger op. Det vigtige er, at det står klart, hvem der gør hvad. Ellers bliver testen et projekt, som én ildsjæl driver, og som går i stå, når ildsjælen går af. → Hvem i ledelsen skal eje sikkerhedstesten?

Når bestyrelsen skifter, og adgange skal overdrages

Generalforsamlingen kan skifte halvdelen af bestyrelsen ud på én aften. Hvis testen blev bestilt af den gamle bestyrelse, kan den nye stå med en rapport, ingen kender, og en plan for rettelser, ingen ejer. Planlæg derfor overdragelsen, før generalforsamlingen finder sted.

En overdragelsesmappe for sikkerheden kan indeholde:

Seneste test · rapport eller resumé, dato, omfang og hvem der udførte den.
Opfølgningsplanen · hvilke fund der er rettet, hvilke der mangler, og hvem der har ansvaret.
Aftaler · med IT-leverandøren og eventuelle systemleverandører.
Accepterede risici · og hvorfor de blev accepteret.

Mappen bør ligge et sted, der tilhører foreningen, ikke på et afgående medlems private computer eller i en privat mailboks.

Adgange er en særlig del af overdragelsen. I frivillige organisationer kan adgangen til medlemssystemet, hjemmesiden eller bankens erhvervsløsning hænge ved bestemte personer. Når en person går af, er spørgsmålet ikke kun, hvem der får adgangen, men også om den gamle adgang bliver lukket.

Bestyrelsen bør have en liste over, hvilke systemer foreningen bruger, hvem der har adgang med særlige rettigheder, og hvem der kan give og fjerne adgang. Listen gennemgås ved hvert bestyrelsesskifte. En sikkerhedstest kan vise, om der ligger gamle adgange tilbage, men listen er bestyrelsens eget redskab. → Hvem har adgang til hvad?

Hvad medlemmer eller forældre skal vide

Medlemmer og forældre har en naturlig interesse i, at deres oplysninger passes på, men de har ikke brug for detaljer om svagheder. En kort omtale i bestyrelsens beretning kan være nok: at der er gennemført en test, at bestyrelsen følger op, og hvem der kan kontaktes med spørgsmål. Detaljer om fund, der endnu ikke er rettet, hører ikke til i en beretning, der bliver lagt på hjemmesiden.

Hvis testen eller noget andet viser, at personoplysninger kan være kommet i forkerte hænder, gælder der særlige regler om sikkerhedsbrud. Dem kan I læse om hos Datatilsynet, og spørgsmålet bør afklares hurtigt med jeres rådgiver.

Et tænkt eksempel

En idrætsforening med frivillige trænere og en lille ungdomsafdeling har medlemsdata, børneattester og betalinger i et onlinesystem. Kassereren foreslår en test af systemet og foreningens hjemmeside. Bestyrelsen finder plads i budgettet, beslutter testen på et møde og giver ansvaret til posten som kasserer. Efter testen er to fund rettet, og ét afventer systemleverandøren.

Ved generalforsamlingen stopper kassereren. Den nye kasserer får overdragelsesmappen, og bestyrelsen gennemgår adgangslisten på det konstituerende møde. Den afgående kasserers administratoradgang lukkes samme aften. Fundet hos systemleverandøren følges op af den nye kasserer, som har det på dagsordenen ved næste møde.

Det skal I lade være med

At lade én ildsjæl eje testen personligt · knyt ansvaret til en post.
At beslutte uden at tjekke vedtægterne · kompetencen kan ligge hos generalforsamlingen.
At gemme rapporten privat · den tilhører foreningen eller institutionen.
At glemme gamle adgange ved et skifte · luk dem samtidig med, at nye gives.
At lægge detaljer om svagheder i beretningen · omtal testen, ikke fundene.

Hvad kan og ikke kan konkluderes

En frivillig bestyrelse kan godt beslutte og følge op på en sikkerhedstest, hvis ansvaret knyttes til poster, og dokumenterne bliver i organisationen. Det gør ikke opgaven mindre krævende, og en test fjerner ikke ansvaret for at rette det, der findes. Hvilke regler der gælder, afhænger af foreningsform, vedtægter og eventuel særlovgivning.

Tjekliste til den frivillige bestyrelse

☐ Ved vi, hvem der efter vedtægterne kan beslutte en test?
☐ Er ansvaret for opfølgningen knyttet til en post?
☐ Har vi en overdragelsesmappe, der ligger hos organisationen?
☐ Gennemgår vi adgange ved hvert bestyrelsesskifte?
☐ Er det aftalt, hvad medlemmer eller forældre får at vide?

Kilder

Databeskyttelsesforordningen (EU) 2016/679: artikel 32, stk. 1, herunder litra d om regelmæssig afprøvning, vurdering og evaluering af foranstaltningernes effektivitet.
Datatilsynet, GDPR-univers for små foreninger, trin 6: Husk sikkerheden: cyberangreb rammer både små og store foreninger; ved outsourcing er det foreningens ansvar at stille krav til leverandøren.
Friskoleloven, LBK nr. 700 af 13/08/2026: § 5, stk. 7, om bestyrelsens overordnede ledelse og ansvar for skolens drift over for undervisningsministeren.
Lov om efterskoler og frie fagskoler, LBK nr. 470 af 11/05/2026: § 7, stk. 1, om bestyrelsens overordnede ledelse og ansvar over for ministeren og skolekredsen.

Senest gennemgået: oktober 2026.