Nøgletal og rapportering til bestyrelse og revisionsudvalg

Bestyrelsen får hvert kvartal en rapport om cybersikkerhed, men ved den, hvad den skal gøre, når et tal bevæger sig? Rapportering bliver først nyttig, når tallene har en ejer, en tolerance og en beslutning knyttet til sig. Artiklerne her handler om at vælge nøgletal, sætte grænser, bygge rapporten og bruge modenhedsscoren i bestyrelse og revisionsudvalg. De gennemgår også, hvad selskabsloven, årsregnskabsloven og anbefalingerne siger, og hvor de ikke siger noget om cyber.

Temaet er skrevet til bestyrelsesmedlemmer, revisionsudvalg, direktion og den CISO, der laver rapporten. Hvor teksten tolker en lovbestemmelse, står det i artiklen.

Nøgletallene

• Nøgletal, ingen kan handle på Ejer, mål og beslutning.
• Nøgletal mellem to vurderinger Løbende tal mellem to billeder.
• NIST SP 800-55 fra 2024: sådan vælges og prioriteres målinger NIST’s vejledning i målinger.
• ISO/IEC 27004: standarden om overvågning, måling, analyse og evaluering Vejledningen til måling efter ISO 27001.
• Tolerancer: hvornår er et nøgletal rødt, og hvem bestemmer det? Grænser besluttet på forhånd.
• Dækningsgrad som nøgletal: nævneren er problemet Listen bag procenten.
• Tid til at lukke kritiske sårbarheder som nøgletal Samme regnemåde i alle enheder.

Rapporten

• Kvartalsrapporten om cybersikkerhed i en koncern: fast struktur og fast måleserie Samme struktur hver gang.
• Rapportens opbygning: koncernbillede, enhedsbilleder og fundliste Tre dele til tre læsere.
• Spindelvæv og heatmap: hvad de viser, og hvor de vildleder Figurerne og deres faldgruber.
• Ét tal til bestyrelsen: kan modenhed koges ned til én score? Spredning, bund og udvikling.
• Én vurdering, flere rapporter: bestyrelse, direktion, enhedsledere og teknikere Fire læsergrupper.
• Alvorlighedsgrader for fund, der virker på tværs af enheder Kriterier og kalibrering.
• Når enheden er uenig i sin score Faste regler for uenighed.
• Modenhedsprofilen udadtil: en nuværende profil som svar til kunder og partnere Profilen i stedet for rapporten.

Bestyrelsen og revisionsudvalget

• Modenhedsvurderingen i bestyrelsen: beslutninger om målniveau og ressourcer Tre beslutninger på mødet.
• Scoren i revisionsudvalget: opfølgning mellem bestyrelsesmøderne Et valg, bestyrelsen kan træffe.
• Bestyrelsesforeningens anbefalinger om cybersikkerhed som tjekliste for rapporteringen Seks temaer som tjekliste.
• Den britiske Cyber Governance Code of Practice som målestok for bestyrelsens eget arbejde Fem principper for bestyrelsens arbejde.

Lov og oplysning

• Selskabslovens § 115: risikostyring og interne kontroller som bestyrelsens opgave, og hvad en måling dokumenterer Bestyrelsens tilsyn og tolkningen af cyber.
• Redegørelsen for virksomhedsledelse efter årsregnskabslovens § 107 b: hvad der skal stå om kontrol- og risikostyringssystemer Kontrol og risiko omkring regnskabet.
• Dansk koncern med notering i USA: de årlige oplysninger om cyberrisiko, styring og bestyrelsens tilsyn Årlige oplysninger og væsentlige hændelser.

Hvad det kræver, og hvad det koster at lade være

God rapportering kræver få nøgletal med en ejer og en tolerance, som ledelsen har besluttet, en fast struktur fra kvartal til kvartal og en klar adskillelse mellem løbende tal og modenhedsvurderingen. Den kræver også, at bestyrelsen beslutter noget på baggrund af tallene: målniveau, prioritering og ressourcer. Revisionsudvalget kan følge op mellem møderne, hvis bestyrelsen vælger det.

Uden det får bestyrelsen figurer, der skifter hver gang, og farver, som rapportens forfatter har valgt. Mødet ender i en orientering uden beslutning, direktionen mangler mandat, og bestyrelsen kan ikke dokumentere, at den har fulgt med i en risiko, den selv har ansvaret for at påse.

Det skal I lade være med

• At vise nøgletal, ingen kan handle på · hvert tal skal have en ejer.
• At lade rapportens forfatter vælge farverne · tolerancen er ledelsens.
• At koge modenheden ned til ét tal uden spredning · bunden forsvinder.
• At udvide en lovbestemmelse til at nævne cyber · det er en tolkning.

Det skal gennemgangen kunne vise

• ☐ Hvem der ejer hvert nøgletal, og hvilken tolerance der gælder.
• ☐ Hvilke beslutninger bestyrelsen har truffet på baggrund af rapporten.
• ☐ Hvordan revisionsudvalget følger op mellem møderne.
• ☐ Hvordan rapporten dækker de seks temaer i Bestyrelsesforeningens vejledning.

Senest gennemgået: november 2026.

Næste skridt

• Nøgletal, ingen kan handle på
• Modenhedsvurderingen i bestyrelsen

Læs også: Den interne audit-funktion · Benchmark mod branchen

→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT