Bestyrelsesforeningens Center for Cyberkompetencer har samlet sine anbefalinger i seks temaer. De kan bruges som en tjekliste: dækker koncernens rapportering til bestyrelsen alle seks, eller er der temaer, bestyrelsen aldrig hører om?
Den nyeste udgave er “Cybersikkerhed for bestyrelse og direktion. Vejledning og anbefalinger til styrkelse af strategiske cyberkompetencer” fra september 2023. Den afløser udgaven fra marts 2021. Centrets side viste ved gennemgangen 14. november 2026 ingen nyere udgave. Vejledningen er en anbefaling og ikke et krav.
De seks temaer
Vejledningen opdeler bestyrelsens arbejde med cybersikkerhed i seks temaer.
- Risikovurdering
- Risikoappetit
- Politikker, processer og beredskab
- Rapportering (kontrol og tilsyn)
- Kultur
- Governance
Hvert tema har anbefalinger og spørgsmål i en tjekliste. Den offentlige udgave indeholder anbefalinger, tjekliste og temaerne, men ikke de appendiks med skabeloner for rapportering og årshjul, som vejledningen henviser til. De er ikke gennemgået her.
Temaerne holdt op mod rapporteringen
Tabellen herunder viser, hvad hvert tema siger, og hvad det betyder for en koncerns rapportering. Koblingen til rapporteringen er sitets.
- 1 Risikovurdering · Det, vejledningen siger: En opdateret risikovurdering til bestyrelsen hvert år og oftere ved behov · Spørgsmål til koncernens rapport: Kommer der en samlet risikovurdering mindst årligt, også for datterselskaberne?
- 2 Risikoappetit · Det, vejledningen siger: Bestyrelsen fastsætter strategien, herunder risikoappetit, mindst én gang om året ud fra bl.a. sikkerhedsbudget og investeringsvilje · Spørgsmål til koncernens rapport: Står appetit og tolerancer i rapporten, og vises fravigelser?
- 3 Politikker, processer og beredskab · Det, vejledningen siger: Temaet samler politikker, processer og beredskab; tema 4 nævner test af beredskabsplaner i rapporten · Spørgsmål til koncernens rapport: Rapporteres resultater af beredskabsøvelser?
- 4 Rapportering · Det, vejledningen siger: Fast del af årshjulet, på dagsordenen hvert møde, rapport forud for mødet · Spørgsmål til koncernens rapport: Har rapporten fast struktur og kommer den før hvert møde?
- 5 Kultur · Det, vejledningen siger: Bestyrelse og direktion følger regelmæssigt kurser · Spørgsmål til koncernens rapport: Rapporteres ledelsens egen uddannelse?
- 6 Governance · Det, vejledningen siger: Sikkerheden har fagligt ankerpunkt i direktionen og en direkte linje til bestyrelsen; uafhængige kontroller i linjer · Spørgsmål til koncernens rapport: Hvem rapporterer, og kontrollerer risikoejeren sig selv?
Frekvensen for risikovurdering er ændret. Udgaven fra 2021 anbefalede mindst to gange om året. Udgaven fra 2023 siger mindst én gang om året.
Indholdet i de faste rapporter
Under tema 4 står en lang indholdsliste til de faste rapporter. Den spænder fra risikostatus, trusler og nye regler over hændelser, projekter og bemanding til test af beredskab, fravigelser fra bestyrelsens tolerancer, et heatmap over de største risici, status på NIST-rammens funktioner, begrænsninger i rapporten og anbefalede investeringer.
Vejledningen henviser til NIST-rammens fem funktioner. Det svarer til CSF i version 1.1. I CSF 2.0 er Govern kommet til, så rammen nu har seks funktioner. En koncern, der måler efter CSF 2.0, bør rapportere på alle seks.
Om kvaliteten skriver vejledningen, at rapporterne skal være retvisende og fyldestgørende og føre til konkrete tiltag. Den nævner også, at området ikke har en fælles rapporteringsstandard.
Sådan bruges tjeklisten
Det er praksis og sitets forslag at gennemgå de seneste fire rapporter til bestyrelsen og markere, hvilke af de seks temaer og hvilke punkter fra indholdslisten der er dækket. Temaer, der ikke er nævnt i et år, er et hul.
I en koncern er det værd at spørge, om temaerne dækkes for alle selskaber eller kun for moderselskabet. Det gælder især tema 1 og 6. En risikovurdering, der kun dækker hovedkontoret, og en sikkerhedsorganisation, der ikke når ud til datterselskaberne, er typiske huller.
I tema 4 er der også et spørgsmål om erklæringer fra revisor om IT-sikkerhed og om en plan for at udbedre de punkter, der påpeges. Det er et spørgsmål til bestyrelsen, ikke et krav om erklæringer.
Tre typiske huller i en koncern
En gennemgang efter tjeklisten finder ofte de samme huller. Det første er risikoappetitten. Mange bestyrelser har drøftet risiko, men aldrig fastsat en appetit eller tolerancer for cybersikkerhed, og så kan rapporten heller ikke vise fravigelser. Det andet er kulturtemaet, hvor rapporten sjældent siger noget om bestyrelsens og direktionens egen uddannelse. Det tredje er governance, hvor det ofte er uklart, om sikkerheden har en direkte linje til bestyrelsen, eller om den kun når frem gennem IT-direktøren.
Hullerne er ikke nødvendigvis tegn på dårlig sikkerhed. De er tegn på, at bestyrelsen mangler noget af det grundlag, vejledningen mener, den skal have. Det er derfor praksis at bruge tjeklisten til at tilføje faste punkter i rapporten og i årshjulet, ikke til at lave nye projekter.
Tjeklisten og datterselskaberne
En koncern kan bede datterselskabernes bestyrelser om at bruge de samme seks temaer. Så taler alle bestyrelser om de samme ting, og koncernens rapport bliver lettere at samle. Det er praksis, at koncernen leverer skabelonen, så selskaberne ikke hver laver deres egen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen sætter sig med rapporterne fra det seneste år og tjeklisten ved siden af. Det tager få timer og giver en liste over temaer, der mangler.
Lader man være, kan rapporteringen ende med at dække de temaer, sikkerhedsfunktionen er mest optaget af, mens kultur, governance og risikoappetit glider ud. Det er ofte netop de temaer, der kræver bestyrelsens beslutninger.
Det skal I lade være med
- At bruge 2021-udgavens frekvens · den er afløst af mindst én gang om året.
- At rapportere på fem NIST-funktioner, når I måler efter CSF 2.0 · der er seks.
- At kalde anbefalingerne krav · de er vejledning.
Det skal gennemgangen kunne vise
- ☐ En gennemgang af rapporteringen mod de seks temaer.
- ☐ En årlig risikovurdering, der dækker alle selskaber.
- ☐ Rapportering af fravigelser fra risikotolerancer.
- ☐ En plan for de temaer, rapporteringen ikke dækker.
Kilder
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023, anbefalinger, tjekliste og tema 4, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, oversigt over vejledninger, læst 14. november 2026.
- Cybersikkerhed for bestyrelser, v2.1, marts 2021, til sammenligning, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg de seneste fire rapporter til bestyrelsen ved siden af de seks temaer, og markér, hvilke temaer der ikke er nævnt.
- Nøgletal og rapportering til bestyrelse og revisionsudvalg
- Kvartalsrapporten om cybersikkerhed i en koncern
Læs også: Govern i CSF 2.0 · Den britiske Cyber Governance Code of Practice
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
