Ledelsens ansvar for IT‑sikkerhed: hvor testen passer ind

IT-sikkerhed kan blive behandlet som en teknisk opgave, men ansvaret for, at virksomheden er forsvarligt organiseret, ligger hos ledelsen. Svaret på, hvor sikkerhedstesten passer ind, hviler på, hvad ansvaret består i: at sætte retning, sikre de nødvendige ressourcer, få kontrol med, at tingene virker, og følge op. En test hører til kontrollen. Den er ikke selve ansvaret, men den er en af de få måder, ledelsen kan få et uafhængigt billede af, om forsvaret holder.

Teksten er ikke juridisk rådgivning. Hvordan ansvaret konkret er fordelt, afhænger af virksomhedens selskabsform, branche og aftaler.

Ansvaret i bred forstand

Ledelsens ansvar for IT-sikkerhed kommer ikke nødvendigvis fra én regel. Det kommer fra den almindelige pligt til at drive virksomheden forsvarligt, fra regler om bestemte typer data og aktiviteter, og fra de aftaler, virksomheden har indgået med kunder, leverandører og forsikring.

For aktie- og anpartsselskaber med en bestyrelse siger selskabsloven i § 115 blandt andet, at bestyrelsen skal varetage den overordnede og strategiske ledelse, sikre en forsvarlig organisation og påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller. Direktionen varetager efter § 117 den daglige ledelse og skal følge bestyrelsens retningslinjer. Loven nævner ikke IT-sikkerhed særskilt, men når driften afhænger af IT, er det svært at forestille sig en forsvarlig organisation uden styr på sikkerheden.

Tre regelsæt, der kan skærpe ansvaret

Ud over den almindelige pligt kan særlige regler stille mere præcise krav. Om de gælder, skal vurderes konkret.

Persondata · databeskyttelsesforordningens artikel 32 kræver passende sikkerhed og nævner blandt andet en procedure for regelmæssig afprøvning og evaluering af foranstaltningernes effektivitet. → Persondata og sikkerhedstest
NIS2 · for virksomheder, der er omfattet af NIS2-direktivet og de danske regler, der gennemfører det, lægger artikel 20 et særligt ansvar på ledelsesorganerne. → NIS2 og ledelsen
Branche og kontrakter · finansielle virksomheder, leverandører til kritisk infrastruktur og virksomheder med krævende kunder kan have egne krav, eventuelt skrevet ind i aftaler.

Fælles for dem er, at de forventer, at ledelsen ved, hvordan det står til, og har gjort noget ved det. Ingen af dem kan opfyldes ved en test alene.

Fire opgaver, ledelsen ikke kan delegere væk

IT-chefen, driftsleverandøren og testeren kan løse en række opgaver. Nogle kan ledelsen dog ikke overlade til andre, fordi de kræver ledelsens mandat.

Retning · hvad er virksomhedens vigtigste systemer og data, og hvor meget risiko vil ledelsen acceptere? → Risikovillighed
Ressourcer · er der afsat penge og folk til både forebyggelse, kontrol og rettelser?
Kontrol · ved ledelsen, om det, der er besluttet, faktisk virker?
Opfølgning · bliver svagheder rettet, og bliver risici, der ikke rettes, accepteret af nogen med mandat til det?

Det britiske NCSC’s kodeks for ledelse af cyberrisici, som er frivilligt, anbefaler, at ansvaret for cyberrisici placeres hos en navngiven person i ledelsen, og at det indgår i virksomhedens samlede risikostyring. Det er en nyttig rettesnor, også i Danmark. Den samme tankegang findes i andre sammenhænge, hvor ledelsen fører tilsyn: ledelsen behøver ikke selv at lave regnskabet eller tælle lageret, men den skal sikre sig, at nogen gør det, og at nogen kontrollerer det.

Hvor testen passer ind

Sikkerhedstesten hører til den tredje opgave, kontrollen. Den giver ledelsen et billede, der ikke kommer fra dem, der har bygget og driver systemerne. Det er vigtigt, fordi den, der har ansvaret for driften, har svært ved at være sin egen kontrollant.

Testen kan også understøtte de andre opgaver. Den kan give grundlag for retningen, når den viser, hvilke systemer der er mest udsatte. Den kan give grundlag for ressourcerne, når den viser, hvad der skal rettes. Og den kan give grundlag for opfølgningen, når næste test viser, om rettelserne holder. → Intern kontrol

Når driften er outsourcet

I nogle mindre og mellemstore virksomheder ligger driften hos en leverandør. Det flytter arbejdet, men ikke ansvaret. Ledelsen skal stadig vide, om sikkerheden er i orden, og leverandørens egen forsikring om, at alt kører, er ikke en uafhængig kontrol.

Her kan en sikkerhedstest være særlig værdifuld, fordi den giver ledelsen et billede, som ikke kommer fra leverandøren. Det forudsætter, at kontrakten giver mulighed for test, og at leverandøren medvirker. Hvis kontrakten ikke siger noget om det, er det et punkt, ledelsen bør tage op ved næste forhandling, så retten til uafhængig kontrol ikke afhænger af leverandørens velvilje. → Ansvaret kan ikke outsources

Et tænkt eksempel

En bestyrelse i en virksomhed, der sælger reservedele til landbruget, gennemgår sit årshjul og opdager, at IT-sikkerhed aldrig har været et selvstændigt punkt. Formanden spørger direktøren, hvordan ledelsen ved, at sikkerheden er i orden. Direktøren henviser til driftsleverandøren, som hvert kvartal sender en kort rapport om, at alt kører.

Bestyrelsen beder om tre ting: en navngiven ansvarlig i direktionen, en oversigt over de systemer og data, som forretningen ikke kan undvære, og et uafhængigt billede af, om forsvaret omkring dem holder. Det sidste bliver til en sikkerhedstest af webshoppen og forbindelsen til lagersystemet.

Testen finder et par alvorlige forhold, som leverandøren retter. Det vigtigste resultat er dog, at bestyrelsen nu har et punkt på dagsordenen, en ansvarlig, den kan spørge, og et grundlag for at vurdere, om leverandørens rapporter er dækkende. Ansvaret var der hele tiden. Nu kan ledelsen også vise, at den har taget det på sig.

Det skal I lade være med

At se IT-sikkerhed som IT-afdelingens ansvar alene · ansvaret for organisationen ligger hos ledelsen.
At tro, at en test opfylder et lovkrav i sig selv · den er en del af grundlaget, ikke hele svaret.
At lade driftsleverandøren kontrollere sig selv · det er ikke en uafhængig kontrol.
At bestille en test uden at afsætte ressourcer til rettelser · så bliver kontrollen uden konsekvens.
At glemme at skrive beslutningerne ned · ledelsen skal kunne vise, hvad den har gjort. → Har vi gjort, hvad vi kunne?

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan være en del af ledelsens kontrol med, at virksomheden er forsvarligt organiseret, og den kan give grundlag for beslutninger om retning, ressourcer og opfølgning. Den kan ikke i sig selv opfylde et lovkrav, frigøre ledelsen fra ansvar eller afgøre, om ledelsen har handlet tilstrækkeligt i en konkret sag. Det kræver en samlet vurdering, som ligger uden for testen.

Tjekliste: ledelsens ansvar og testen

☐ Er det klart, hvem i ledelsen der har ansvaret for IT-sikkerheden?
☐ Har ledelsen vurderet, om særlige regler gælder for virksomheden?
☐ Har ledelsen et uafhængigt billede af, om forsvaret holder?
☐ Er der afsat ressourcer til rettelser efter testen?
☐ Er ledelsens beslutninger om risici skrevet ned?

Kilder

Selskabsloven, LBK nr. 331 af 28/03/2025: § 115 om bestyrelsens overordnede og strategiske ledelse, forsvarlig organisation og procedurer for risikostyring og interne kontroller; § 117 om direktionens daglige ledelse.
Databeskyttelsesforordningen (EU) 2016/679: artikel 32 om behandlingssikkerhed og regelmæssig afprøvning.
NIS2-direktivet (EU) 2022/2555: artikel 20 om ledelsesorganernes ansvar.
NCSC og UK Government, Cyber Governance Code of Practice: princip A2 om ejerskab af cyberrisici på ledelsesniveau og sammenhæng med den samlede risikostyring.

Senest gennemgået: oktober 2026.