NIS2 og ledelsen: kort om ansvaret, og hvor testen kommer ind

Nogle direktører og bestyrelser hører om NIS2 første gang, når en kunde, en revisor eller en brancheforening nævner det, og spørgsmålet bliver hurtigt, om ledelsen nu skal bestille en sikkerhedstest. Svaret hviler på to ting: hvad loven faktisk siger om ledelsens rolle, og hvad en test kan bidrage med i den rolle. Kort sagt kræver reglerne, at ledelsen godkender og fører tilsyn med virksomhedens sikkerhedsforanstaltninger, og at der findes procedurer til at vurdere, om foranstaltningerne virker. En test kan være en del af den vurdering. Den er ikke selve opfyldelsen.

Teksten er ikke juridisk rådgivning. Om jeres virksomhed er omfattet, og hvad det konkret betyder, kræver en særskilt gennemgang.

Hvad reglerne siger om ledelsen

NIS2-direktivet handler i artikel 20 om ledelsesorganernes ansvar. Bestemmelsen lægger op til, at ledelsen i omfattede virksomheder godkender de foranstaltninger, der skal styre cybersikkerhedsrisici, fører tilsyn med gennemførelsen og kan holdes ansvarlig for overtrædelser. Den nævner også, at medlemmer af ledelsen skal følge uddannelse.

I Danmark er direktivet gennemført med NIS 2-loven. Lovens § 7, stk. 1, siger, at de foranstaltninger, en omfattet enhed træffer efter § 6, skal være godkendt af enhedens ledelsesorgan, og at ledelsesorganet fører tilsyn med gennemførelsen. Efter § 7, stk. 2, skal medlemmerne af ledelsesorganet deltage i relevante kurser om styring af cybersikkerhedsrisici.

Ordet ledelsesorgan kan dække både bestyrelse og direktion, men hvem der gør hvad, afhænger af selskabsformen og af den sektor, I er i. → Direktionens og bestyrelsens roller

Hvor testen kommer ind

Lovens § 6, stk. 1, opregner de foranstaltninger, en omfattet enhed som minimum skal have. Et af punkterne er politikker og procedurer til vurdering af effektiviteten af foranstaltningerne til styring af cybersikkerhedsrisici.

Det er her, en sikkerhedstest naturligt hører hjemme. Loven siger ikke, at vurderingen skal ske med en penetrationstest, og den siger ikke, hvor ofte. Men når ledelsen har godkendt et sæt foranstaltninger, er det rimeligt at spørge, hvordan ledelsen ved, at de virker. En uafhængig test er en af de måder, ledelsen kan få et svar, der ikke kommer fra dem, der selv har bygget løsningen.

Testen bidrager altså til tilsynet. Den erstatter ikke godkendelsen, politikkerne, beredskabet eller uddannelsen, som loven også taler om. → Hvad en sikkerhedstest ikke erstatter

Tre ledelsesspørgsmål, der kommer først

Før en test giver mening i NIS2-sammenhæng, skal ledelsen have svar på tre spørgsmål.

Er vi omfattet? · det afhænger af sektor, type og størrelse og skal vurderes konkret, gerne med hjælp fra en rådgiver med kendskab til reglerne.
Hvad har vi godkendt? · findes der en beslutning i ledelsen om, hvilke foranstaltninger virksomheden har, og hvem der står for dem?
Hvordan følger vi op? · hvem rapporterer til ledelsen, hvor ofte, og hvad skal rapporteringen indeholde?

Først når de tre svar findes, kan ledelsen beslutte, hvad testen skal belyse. Ellers risikerer virksomheden at bestille en test, som ikke hænger sammen med noget af det, ledelsen har ansvaret for.

Når kravet kommer fra en kunde

Nogle virksomheder møder NIS2 uden selv at være omfattet. Kravet kommer fra en kunde, der er omfattet og skal tage stilling til sikkerheden hos sine direkte leverandører. NIS 2-loven nævner forsyningskædesikkerhed blandt de foranstaltninger, en omfattet enhed skal have.

For ledelsen hos leverandøren er det et kommercielt spørgsmål lige så meget som et juridisk. Kunden kan stille krav i kontrakten, og ledelsen skal vurdere, om kravene kan opfyldes, og hvad det koster at lade være. Hvordan en leverandør svarer på kundens krav om test, er beskrevet på https://nis2-pentest.dk/. → Kunder spørger til sikkerheden

Hvad ledelsen kan bede om efter testen

Tilsyn betyder ikke, at ledelsen skal læse testrapporten fra ende til anden. Det betyder, at ledelsen får nok at vide til at tage stilling, og at det kan ses bagefter, at den har gjort det. Efter en test kan ledelsen derfor med rimelighed bede om fire ting.

Et kort resumé · hvad blev afprøvet, hvad holdt, og hvad holdt ikke, skrevet uden fagudtryk.
En plan · hvilke forhold rettes, i hvilken rækkefølge, og hvem står for hvert af dem.
Beslutninger til ledelsen · forhold, der kræver penge, prioritering eller accept af en risiko, lægges frem til beslutning.
En opfølgning · en dato, hvor ledelsen hører, hvordan det går med planen.

Når de fire ting står i ledelsens referater, hænger testen sammen med det tilsyn, loven taler om. Når de mangler, er testen blot en rapport i en mappe. → Ledelsens ansvar for IT-sikkerhed

Et tænkt eksempel

En mellemstor virksomhed inden for affaldshåndtering får at vide af sin revisor, at den formentlig er omfattet. Direktøren foreslår at bestille en penetrationstest med det samme, så der er noget at vise.

Bestyrelsesformanden bremser og spørger i stedet, om ledelsen har godkendt virksomhedens foranstaltninger, og hvem der skal rapportere til bestyrelsen. Svaret er nej og uklart. Bestyrelsen beslutter derfor først at få afklaret, om virksomheden er omfattet, og at få en oversigt over de foranstaltninger, der allerede findes. Testen bliver bestilt bagefter, med et formål, der passer til den oversigt. Den kommer et par måneder senere, men den kan bruges til noget, fordi bestyrelsen på forhånd har aftalt, hvem der skal have resultatet, og hvornår det skal på dagsordenen.

Det skal I lade være med

At bestille en test som svar på NIS2 · uden at vide, hvad testen skal vise, og hvem der skal bruge resultatet.
At regne en testrapport for opfyldelse af loven · den er et bidrag til vurderingen af effektivitet, ikke hele kravet.
At overlade NIS2 til IT · loven lægger godkendelse og tilsyn hos ledelsesorganet.
At antage, at I ikke er omfattet · vurderingen skal gøres konkret, og kunder kan stille krav, selv når loven ikke gør.
At springe kurserne over · loven nævner dem udtrykkeligt for ledelsens medlemmer. → Bestyrelsens kompetence

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan give ledelsen et uafhængigt billede af, om dele af virksomhedens foranstaltninger virker, og det kan indgå i ledelsens tilsyn. Testen kan ikke afgøre, om virksomheden er omfattet, om den overholder loven, eller om ledelsen har opfyldt sit ansvar. Det kræver en samlet vurdering af foranstaltninger, dokumentation og opfølgning, som ligger uden for testen og uden for denne tekst.

Tjekliste for ledelsen

☐ Har vi fået vurderet, om virksomheden er omfattet?
☐ Har ledelsen godkendt virksomhedens foranstaltninger, og står det i et referat?
☐ Er det aftalt, hvem der rapporterer til ledelsen om, hvorvidt foranstaltningerne virker?
☐ Har ledelsens medlemmer deltaget i relevante kurser?
☐ Ved vi, hvad en test skal belyse, før den bestilles? → Har vi gjort, hvad vi kunne?

Kilder

NIS2-direktivet (EU) 2022/2555: artikel 20 om ledelsesorganernes godkendelse, tilsyn, ansvar og uddannelse.
NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 4 (forsyningskædesikkerhed) og nr. 6 (vurdering af foranstaltningernes effektivitet); § 7, stk. 1 og 2 (ledelsesorganets godkendelse, tilsyn og kurser).

Senest gennemgået: oktober 2026.