Ny i bestyrelsen: hvad man bør spørge om sikkerheden

Et nyt bestyrelsesmedlem overtager et medansvar for virksomhedens risici fra første møde, også de risici, der handler om IT-sikkerhed. Samtidig er de første måneder den periode, hvor det er lettest at stille grundlæggende spørgsmål uden at virke mistroisk. Svaret på, hvad man bør spørge om, hviler på tre ting, man har brug for at kende: hvem der har ansvaret, hvad der er undersøgt, og hvad der står åbent. Med de tre på plads kan man deltage i tilsynet på lige fod med de andre.

Brug den første tid

Den, der er ny, har en fordel, som forsvinder hurtigt. Man kan spørge til ting, som de andre i bestyrelsen har vænnet sig til, og man ser virksomheden med friske øjne. Efter et års tid bliver det sværere at spørge, hvorfor noget altid er blevet gjort på en bestemt måde.

Brug derfor introduktionen aktivt. Hvis bestyrelsen har et introduktionsforløb for nye medlemmer med møder med direktionen og en gennemgang af materiale, så bed om, at sikkerhed bliver en del af det, også selv om det ikke står på programmet. Findes der ikke et forløb, kan man selv bede om et møde med den direktør, der ejer emnet.

Det, man kan bede om at få at se

Et nyt medlem har ikke brug for tekniske dokumenter, men for et overblik. Følgende kan man bede direktionen om:

Den seneste sikkerhedstest · resuméet, ikke den tekniske rapport, og en status på opfølgningen.
Referater · de seneste referater, hvor sikkerhed har været behandlet, så man kan se, hvad der er besluttet.
Risikobilledet · den beskrivelse af IT-risici, bestyrelsen har drøftet, hvis der findes en.
Ansvarsfordelingen · hvem i direktionen der ejer emnet, og hvilke leverandører der driver systemerne.
Beredskabet · om der er en plan for, hvad der sker, hvis virksomheden bliver ramt.

Materialet er fortroligt. Opbevar det, som bestyrelsen opbevarer andet fortroligt materiale, og del det ikke med rådgivere eller kolleger uden for bestyrelsen.

Hvis noget af det ikke findes, er det i sig selv en oplysning. Det betyder ikke, at virksomheden er usikker, men at bestyrelsen måske ikke har haft grundlaget for at føre tilsyn. → Hvad bør stå i referatet?

De første spørgsmål

Sikkerdigital.dk opfordrer bestyrelser til at sætte digital ansvarlighed på dagsordenen og nævner blandt andet spørgsmål om, hvor stor virksomhedens risiko for IT-angreb er, og hvilke data der er forretningskritiske. For et nyt medlem kan de omsættes til få, konkrete spørgsmål om sikkerhedstest og opfølgning.

Hvem ejer emnet i direktionen? · der bør være et navn, ikke kun en afdeling. → Hvem i ledelsen skal eje sikkerhedstesten?
Hvad er det vigtigste for forretningen? · hvilke systemer og data ville skade mest, hvis de blev ramt?
Hvornår blev det sidst undersøgt? · og var det vigtigste med i undersøgelsen?
Hvad står åbent? · alvorlige fund, der ikke er rettet, og risici, der er accepteret.
Hvordan hører bestyrelsen om det? · fast punkt, årlig gennemgang eller kun ved behov?

Spørgsmålene er bevidst enkle. Formålet er ikke at vurdere sikkerheden, men at forstå, om bestyrelsen har det grundlag, den skal bruge. Flere spørgsmål til de næste møder findes her → Spørgsmål, bestyrelsesmedlemmer kan stille

Spørg uden at anklage

En ny stemme, der spørger til sikkerheden, kan opfattes som kritik af direktionen eller af de bestyrelsesmedlemmer, der har siddet længe. Det kan undgås med formuleringen. Spørg, så det handler om at forstå, ikke om at finde fejl: hvordan har I grebet det an, og hvad har I besluttet hidtil?

Tag gerne de første spørgsmål med formanden, før de stilles på et møde. Formanden kan fortælle, hvad der allerede er drøftet, og kan hjælpe med at placere emnet på dagsordenen, så det ikke kommer som en overraskelse for direktionen. Et medlem, der ankommer med en liste over mangler, får sværere ved at blive hørt end et, der spørger nysgerrigt. → Bestyrelsesmedlem uden IT-baggrund

Når svarene er tynde

Hvis svarene på de første spørgsmål er uklare, er det ikke nødvendigvis et tegn på, at noget er galt. Det kan være, at emnet aldrig har været formaliseret. Så er opgaven at hjælpe bestyrelsen i gang, ikke at slå alarm.

Et naturligt næste skridt er at foreslå, at sikkerhed bliver et fast punkt i bestyrelsens årshjul, og at bestyrelsen får et kort oplæg fra direktionen om status. Sikkerdigital.dk beskriver digital ansvarlighed som en trinvis proces, der skal vedligeholdes løbende, og det passer også her: et første oplæg, en beslutning om, hvad der skal undersøges, og en opfølgning. → Bestyrelsens årshjul

Hvis der aldrig er gennemført en sikkerhedstest, kan det være det første, bestyrelsen beder direktionen tage stilling til. → Skal vi teste?

Et tænkt eksempel

En entreprenørvirksomhed får et nyt bestyrelsesmedlem, der kommer fra en stilling som økonomidirektør i en anden branche. I introduktionen beder det nye medlem om resuméet af den seneste sikkerhedstest og om referaterne fra de møder, hvor den blev behandlet.

Resuméet viser, at testen omfattede hjemmesiden og mailsystemet, men ikke det system, der styrer tilbud og projektøkonomi. Referatet nævner, at testen blev taget til efterretning. Det nye medlem tager det op med formanden, som foreslår, at direktionen på næste møde forklarer, hvorfor projektsystemet ikke var med, og hvad status er på de fund, testen gjorde. Direktionen svarer, at systemet blev købt efter testen, og foreslår at tage det med i den næste. Det nye medlem bemærker også, at bestyrelsen ikke tidligere har spurgt til opfølgningen, og foreslår, at status på de åbne fund bliver et fast punkt, indtil de er lukket.

Det skal I lade være med

At vente med at spørge, til man kender virksomheden · de første måneder er det letteste tidspunkt.
At bede om den tekniske rapport · resumé og status er det, bestyrelsen skal bruge.
At stille spørgsmålene som anklager · spørg for at forstå.
At gå uden om formanden · tag de første spørgsmål med formanden først.
At slå sig til tåls med, at emnet hører til IT · ansvaret for tilsynet ligger i bestyrelsen.

Hvad kan og ikke kan konkluderes

De første spørgsmål kan give et nyt bestyrelsesmedlem et billede af, om bestyrelsen har grundlag for at føre tilsyn med sikkerheden. De kan ikke afgøre, om virksomheden er godt beskyttet, og et manglende svar er en anledning til at komme i gang, ikke en dom over direktionen.

Tjekliste for det nye bestyrelsesmedlem

☐ Er sikkerhed en del af introduktionen?
☐ Har jeg set resuméet af den seneste test og status på opfølgningen?
☐ Ved jeg, hvem i direktionen der ejer emnet?
☐ Kender jeg de systemer og data, der betyder mest for forretningen?
☐ Er det aftalt, hvordan bestyrelsen holdes orienteret?

Kilder

sikkerdigital.dk, Sæt digital ansvarlighed på dagsordenen i bestyrelsen: opfordringen til bestyrelser, eksempler på spørgsmål om risikoen for IT-angreb og forretningskritiske data, og digital ansvarlighed som en trinvis proces.

Senest gennemgået: oktober 2026.