Cyber Governance Code of Practice, som den britiske regering offentliggjorde 8. april 2025, er skrevet til bestyrelser og direktører, ikke til sikkerhedsfunktionen. Med fem principper og 22 handlinger giver den en dansk bestyrelse en færdig målestok for sit eget arbejde med cybersikkerhed.
Kodeksen er britisk og frivillig. Den stiller ingen krav til danske virksomheder. Brugen som selvvurdering er sitets forslag.
Hvem kodeksen er til
Kodeksen henvender sig til bestyrelser og direktører i mellemstore og store organisationer, både offentlige og private. Små organisationer opfordres til at bruge principperne. Den er udgivet af den britiske regering og skal ses som vejledning om, hvad en bestyrelse bør gøre.
For en dansk koncern er den interessant, fordi den er kort, konkret og skrevet i handlinger, som en bestyrelse kan krydse af. Danske vejledninger som Bestyrelsesforeningens dækker mange af de samme emner, men i en anden form.
De fem principper
Kodeksen har fem principper med i alt 22 handlinger.
- A · Område: Risikostyring · Handlinger: A1 til A5
- B · Område: Strategi · Handlinger: B1 til B4
- C · Område: Mennesker · Handlinger: C1 til C4
- D · Område: Planlægning af hændelser, respons og genopretning · Handlinger: D1 til D4
- E · Område: Assurance og tilsyn · Handlinger: E1 til E5
Nogle af handlingerne er særligt relevante for den, der arbejder med måling og rapportering.
- A3 · risikoappetit og en handlingsplan.
- B3 · ressourcer fordeles effektivt til de aftalte risici.
- B4 · strategien leveres og giver de tilsigtede resultater.
- C4 · bestyrelsen får sikkerhed, med egnede målinger, for at uddannelsesprogrammet virker.
- D2 · planen for hændelser øves mindst én gang om året.
- E2 · formel rapportering mindst hvert kvartal, egnede målinger og aftalte tolerancer for hver.
- E3 · løbende dialog med CISO eller tilsvarende.
- E4 · cybersikkerhed integreres i de eksisterende mekanismer for intern og ekstern revision og assurance.
Kodeksen bruger ikke ordene KPI eller KRI og fastsætter ingen konkrete tolerancer. Den beder bestyrelsen om selv at fastsætte målinger og grænser.
Bestyrelsens selvvurdering
Kodeksen nævner ikke selvevaluering. Det er sitets forslag at bruge de 22 handlinger som en tjekliste, bestyrelsen gennemgår én gang om året, fx i forbindelse med den årlige evaluering af bestyrelsens arbejde.
En enkel fremgangsmåde er at give hver handling én af tre markeringer: gjort og dokumenteret, delvist gjort eller ikke gjort. Til hver markering skrives, hvor dokumentationen findes, fx et referat, en godkendt strategi eller en rapport. Resultatet er en lille modenhedsprofil for bestyrelsens eget arbejde.
Det er vigtigt, at markeringerne bygger på dokumentation og ikke på hukommelse. En handling, ingen kan pege på et referat for, er ikke gjort i kodeksens forstand.
Hvad en dansk bestyrelse skal være opmærksom på
Kodeksen er skrevet til britiske forhold. Den forholder sig ikke til dansk selskabsret, til NIS 2-loven eller til revisorlovens regler om revisionsudvalg. En dansk bestyrelse bør derfor bruge den som supplement til de danske regler og anbefalinger, ikke som erstatning.
Kvartalet i E2 er kodeksens forslag. Herhjemme lægger Bestyrelsesforeningen op til en rapport inden hvert bestyrelsesmøde. Den, der vælger kodeksen som målestok, bør vælge den frekvens, der passer til bestyrelsens mødeplan.
Kodeksen i en koncern
I en koncern kan kodeksen også bruges af datterselskabernes bestyrelser. Det giver et fælles sprog og gør det muligt at se, om nogle bestyrelser er længere end andre. Det er praksis, at koncernens bestyrelse beslutter, om den forventer det af datterselskaberne, og at resultaterne rapporteres samlet.
E4 om integration med intern og ekstern revision passer godt til en koncern med en intern revisionsfunktion. Handlingen spørger, om cybersikkerhed er med i de assurance-mekanismer, der allerede findes, eller om den står for sig selv.
Et tænkt resultat af selvvurderingen
Forestil jer en bestyrelse, der gennemgår handlingerne første gang. Den finder, at risikostyringen under princip A er godt dækket, fordi risici behandles hvert år. Under princip D finder den, at beredskabsplanen findes, men ikke er øvet med bestyrelsen. Under princip E finder den, at der rapporteres, men at ingen har aftalt tolerancer.
Resultatet bliver to beslutninger: en øvelse med bestyrelsen inden for et år og et forslag fra direktionen til tolerancer for de vigtigste nøgletal. Det er små ændringer, men de lukker de huller, kodeksen gjorde synlige.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsens sekretær eller formand samler dokumentationen for hver handling én gang om året, og at bestyrelsen bruger et punkt på dagsordenen på at drøfte resultatet.
Lader man være, vurderer bestyrelsen sikkerheden i resten af organisationen, men aldrig sit eget bidrag. Huller i bestyrelsens arbejde, fx manglende tolerancer eller ingen øvelse af beredskabet, bliver ikke opdaget.
Det skal I lade være med
- At kalde kodeksen et dansk krav · den er britisk og frivillig.
- At markere handlinger som gjort uden dokumentation · så siger selvvurderingen intet.
- At bruge kodeksen i stedet for de danske regler · den er et supplement.
Det skal gennemgangen kunne vise
- ☐ En årlig gennemgang af de 22 handlinger.
- ☐ Dokumentation for hver handling markeret som gjort.
- ☐ En plan for de handlinger, der ikke er gjort.
- ☐ Bestyrelsens drøftelse af resultatet i et referat.
Kilder
- UK, Cyber Governance Code of Practice, 8. april 2025, principper A til E, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gennemgå de 22 handlinger med bestyrelsens formand, og markér hver med gjort, delvist eller ikke gjort.
Læs også: Den britiske Cyber Assessment Framework som målestok · Bestyrelsesforeningens anbefalinger som tjekliste
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
