Hvornår kan ledelsen betragte testen som afsluttet?

For testeren slutter opgaven, når rapporten er afleveret og gennemgået. For virksomheden er det dér, det meste af arbejdet begynder. Spørgsmålet om, hvornår direktionen kan lukke sagen, kræver derfor et svar, der er besluttet på forhånd. Det svar hviler på et sæt kriterier, som direktionen selv fastlægger: de alvorlige fund er håndteret og efterprøvet, resten er overført til den almindelige drift med en ejer, accepterede risici er besluttet og registreret, og erfaringerne er ført videre. Når kriterierne er opfyldt, lukkes sagen med en beslutning, der kan findes igen.

Tre slutpunkter, der let blandes sammen

Der er tre forskellige tidspunkter, som alle kan kaldes afslutningen:

Testerens afslutning · rapporten er leveret, gennemgået og eventuelt rettet til.
Bestyrelsens afslutning · bestyrelsen har set, at de alvorlige forhold er håndteret, og lukker sit særskilte punkt. → Bestyrelsens tilsyn med opfølgningen
Direktionens afslutning · alt, der hører til testen, er enten gennemført eller overført til den almindelige styring.

Direktionens afslutning kommer sidst, og den er den mest detaljerede, fordi det er direktionen, der står for det daglige arbejde med opfølgningen. Når de tre slutpunkter blandes sammen, kan en direktion komme til at lukke sin sag, fordi bestyrelsen har lukket sin, selv om der stadig mangler noget i det daglige. Eller den kan lade sagen stå åben i det uendelige, fordi ingen har sagt, hvad der skal til.

Hvorfor kriterierne skal ligge fast på forhånd

Uden aftalte kriterier bliver afslutningen et spørgsmål om fornemmelse. Status har været grøn et par gange, ingen har spurgt i et stykke tid, og punktet forsvinder fra dagsordenen. Det kan gå godt, men ingen kan bagefter sige, hvad der var opfyldt, da sagen blev lukket.

Styrelsen for Samfundssikkerhed skriver i sin vejledning om ledelsens rolle efter NIS 2-loven, at ledelsen på et overordnet og strategisk niveau skal beslutte, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig. Vejledningen er skrevet til virksomheder, der er omfattet af loven. For andre virksomheder er det ikke et krav, men tanken passer også her: det er ledelsen, der afgør, hvornår en indsats er god nok, og den afgørelse bør bygge på kriterier, ikke på at tiden er gået. Teksten er ikke juridisk rådgivning.

Seks kriterier for at lukke sagen

Direktionen kan bruge disse kriterier og tilpasse dem til sin egen virksomhed:

De alvorlige fund er rettet og efterprøvet · af en anden end den, der rettede. → Bliver fundene rettet?
De øvrige fund har en ejer og en plan · og er overført til den almindelige opgavestyring, hvor de følges som andre opgaver.
Accepterede fund er besluttet og registreret · med begrundelse, beslutningstager og dato for ny vurdering, og de står i virksomhedens oversigt over risici. → Risikoregistret
Testens spor er fjernet · testkonti og særlige adgange, der blev oprettet til testen, er lukket, og IT har bekræftet det.
Modtagerne har fået det, de skulle have · bestyrelse, kunder eller andre, der var lovet en orientering, har fået den. → En test, flere modtagere
Erfaringerne er samlet · evalueringen er gennemført, og beslutningerne om næste test er skrevet ned. → Lærte vi noget?

Ikke alle kriterier passer til alle test. En lille test af en enkelt hjemmeside har måske ingen modtagere ud over direktionen. Men det bør være et bevidst valg at udelade et kriterium, ikke en forglemmelse. Det er en god idé at beslutte kriterierne, når testen bestilles, så alle ved fra starten, hvad der skal til for at komme i mål.

Dokumentationen, der skal ligge tilbage

Når sagen lukkes, skal det være muligt at genfinde, hvad der blev testet, hvad der blev fundet, og hvad der blev besluttet. Det kan blive vigtigt, hvis en kunde, en forsikring eller en ny direktør spørger senere. Saml rapporten, planen, beslutningerne om accepterede fund, dokumentationen for efterprøvningen og evalueringen ét sted. Adgangen skal være begrænset, fordi rapporten beskriver svagheder, som også kan være interessante for andre.

Beslut også, hvor længe materialet skal gemmes, og hvem der har ansvaret for det. En rapport kan være nyttig, når den næste test skal sammenlignes med den forrige, og når en ny ansvarlig skal sætte sig ind i historikken. Ansvaret bør ligge hos en rolle, så materialet ikke forsvinder, når en person skifter job. → Hvem skal kende resultatet?

Lukningen som beslutning

Lad afslutningen være en beslutning på et direktionsmøde, og skriv den i referatet. Beslutningen bør henvise til kriterierne og nævne eventuelle undtagelser, for eksempel et fund, der er accepteret i en periode. Så er det klart for alle, at sagen er lukket, og hvorfor.

En lukning betyder ikke, at de mindre fund og de accepterede risici forsvinder. De fortsætter i den almindelige opgavestyring og i virksomhedens oversigt over risici, hvor de følges som alt andet. Det, der lukkes, er det særskilte forløb omkring testen. Beslut samtidig, hvornår accepterede fund skal vurderes igen, så de ikke bliver glemt i den almindelige drift. → Referatet og sikkerhedstesten

Et tænkt eksempel

En forhandler af kontormøbler har fået testet sit lager- og ordresystem og webshoppen. Fire måneder efter rapporten foreslår IT-chefen, at sagen lukkes.

Direktøren gennemgår de seks kriterier. De alvorlige fund er rettet og efterprøvet, og de mindre fund står i IT’s opgavesystem med ejere. Et fund i ordresystemet er accepteret indtil en planlagt udskiftning, men accepten står ikke i risikooversigten. Testkontiene er lukket. En stor kunde, der var lovet en bekræftelse, har ikke fået den. Direktionen beder om, at accepten registreres, og at kunden får sin bekræftelse. På næste møde er begge dele gjort, evalueringen er afholdt, og direktionen lukker sagen med en henvisning til kriterierne i referatet.

Det skal I lade være med

At lukke sagen, når rapporten er gennemgået · det er testerens afslutning, ikke jeres.
At lade punktet forsvinde af sig selv · luk det med en beslutning.
At lukke med uregistrerede accepter · de skal kunne findes igen.
At glemme testens spor · særlige adgange skal være lukket.
At sprede dokumentationen · saml den ét sted med begrænset adgang.

Hvad kan og ikke kan konkluderes

En afsluttet test betyder, at den aftalte opfølgning er gennemført, og at det er dokumenteret. Det betyder ikke, at systemerne er sikre, eller at der ikke findes svagheder, testen ikke så. Afslutningen lukker ét forløb. Den næste test og den løbende styring fortsætter.

Tjekliste før sagen lukkes

☐ Er de alvorlige fund rettet og efterprøvet?
☐ Har de øvrige fund en ejer i den almindelige opgavestyring?
☐ Er accepterede fund registreret med begrundelse og dato?
☐ Er særlige adgange fra testen lukket?
☐ Er evalueringen gennemført og dokumentationen samlet?

Kilder

Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven: Ledelsens rolle og opgaver (maj 2025): ledelsen skal på et overordnet og strategisk niveau beslutte, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig.

Senest gennemgået: oktober 2026.