En dansk koncern, der er noteret i USA som udenlandsk privat udsteder, skal efter den amerikanske børstilsynsmyndighed SEC’s regler fra juli 2023 oplyse om sin styring af cyberrisici, sin strategi og sin governance i den årlige rapport på Form 20-F. Væsentlige cyberhændelser skal oplyses på Form 6-K.
En gentagen måling af sikkerhedsmodenheden kan underbygge den årlige tekst. Artiklen beskriver reglerne, som SEC selv har opsummeret dem, og hvordan en måling kan bruges. Den er ikke juridisk rådgivning, og de præcise krav skal læses i SEC’s regler.
Reglerne efter SEC’s pressemeddelelse
SEC vedtog reglerne 26. juli 2023 og beskrev dem i pressemeddelelse 2023-139. For indenlandske amerikanske selskaber gælder krav på Form 8-K om væsentlige hændelser og på Form 10-K om processer for at vurdere og styre væsentlige cyberrisici, bestyrelsens tilsyn og ledelsens rolle og ekspertise.
For udenlandske private udstedere kræver reglerne efter pressemeddelelsen tilsvarende oplysninger:
- Form 6-K · om væsentlige cybersikkerhedshændelser.
- Form 20-F · om styring af cybersikkerhedsrisici, strategi og governance.
En dansk koncern, der er noteret i USA, er typisk udenlandsk privat udsteder. Om det gælder den enkelte koncern, afhænger af dens forhold og skal afklares med dens rådgivere.
Hvornår reglerne gælder
Efter pressemeddelelsen skal oplysningerne i 20-F gives i årsrapporter for regnskabsår, der slutter 15. december 2023 eller senere. Oplysningerne i 6-K skal gives fra det seneste af to tidspunkter: 90 dage efter offentliggørelsen i Federal Register eller 18. december 2023.
Status i dag
Ved gennemgangen 14. november 2026 viste SEC’s pressemeddelelse ingen note om ændring eller ophævelse af reglerne. Det betyder ikke nødvendigvis, at intet er sket siden. Den, der skal skrive næste 20-F, bør tjekke SEC’s gældende regler, før teksten skrives.
Hvad oplysningerne handler om
Oplysningerne i 20-F handler efter pressemeddelelsen om tre ting: hvordan virksomheden styrer cyberrisici, hvordan cybersikkerhed indgår i strategien, og hvordan governance er indrettet, herunder bestyrelsens tilsyn. Det er de samme emner, som en modenhedsmåling og bestyrelsens behandling af den belyser.
Det er praksis og sitets vurdering, at teksten i 20-F bliver lettere at skrive og lettere at forsvare, når den kan føres tilbage til et dokumenteret grundlag. Det gælder især beskrivelsen af processer og af bestyrelsens rolle.
Hvad en måling kan underbygge
En gentagen måling kan bruges på tre måder i arbejdet med 20-F.
- Processerne · målingen dokumenterer, hvilke processer for at vurdere og styre risici der findes, og hvordan de er indrettet i koncernens selskaber.
- Udviklingen · måleserien viser, hvordan processerne er blevet bygget ud over tid, så teksten ikke beskriver et ønske som et faktum.
- Bestyrelsens tilsyn · referater fra bestyrelsens og eventuelt revisionsudvalgets behandling af målingen viser, hvordan tilsynet foregår i praksis.
Teksten i 20-F bør ikke gengive scoren eller fundene. Den beskriver processer og organisering. Men hvis en investor, revisor eller myndighed spørger, skal virksomheden kunne vise, hvad teksten bygger på.
Samspil med de danske regler
En dansk koncern noteret både i Danmark og i USA skal også følge de danske regler, fx redegørelsen for virksomhedsledelse efter årsregnskabslovens § 107 b, som er beskrevet i redegørelsen efter § 107 b. De danske regler handler om kontrollerne omkring regnskabsaflæggelsen. De amerikanske regler handler direkte om cyberrisici. Det er praksis at læse de to tekster sammen, så de ikke modsiger hinanden.
Hvem skriver teksten
I mange koncerner skrives årsrapportens afsnit om cybersikkerhed af den juridiske funktion eller investor relations ud fra input fra sikkerhedsfunktionen. Det er god praksis, at CISO eller den, der har ansvaret for målingen, læser den færdige tekst og bekræfter, at den svarer til virkeligheden. Det er også praksis at gemme en kort note om, hvad hvert udsagn bygger på, så grundlaget kan findes frem, hvis der kommer spørgsmål.
Teksten bør holdes overordnet. Detaljer om sårbarheder eller enkelte svagheder hører ikke til i en offentlig rapport, og de kan give en angriber oplysninger, som ikke skulle ud.
Bestyrelsens tilsyn i praksis
Reglerne beder om oplysninger om bestyrelsens tilsyn. Det er derfor en fordel, at bestyrelsens arbejde med cybersikkerhed er dokumenteret i referater gennem året, fx behandlingen af en modenhedsmåling, fastsættelsen af risikoappetit og opfølgningen på væsentlige fund. Så kan teksten beskrive det, der faktisk er sket.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen har et dokumenteret grundlag for at beskrive sin styring af cyberrisici og bestyrelsens tilsyn, og at nogen tjekker de gældende regler hos SEC hvert år. En gentagen måling og bestyrelsens referater er en del af grundlaget.
Lader man være, bliver teksten i 20-F skrevet ud fra hukommelse og hensigter. Det er svært at forsvare, hvis den senere viser sig ikke at holde.
Det skal I lade være med
- At antage, at reglerne er uændrede · tjek SEC’s gældende regler før hver årsrapport.
- At beskrive processer, der kun findes på papir · teksten skal kunne underbygges.
- At lade 20-F og den danske redegørelse modsige hinanden · læs dem sammen.
Det skal gennemgangen kunne vise
- ☐ Et dokumenteret grundlag for teksten om risikostyring og strategi.
- ☐ Referater, der viser bestyrelsens tilsyn.
- ☐ En årlig kontrol af SEC’s gældende regler.
- ☐ En afstemning mellem 20-F og de danske oplysninger.
Kilder
- SEC, pressemeddelelse 2023-139, 26. juli 2023, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg afsnittet om cybersikkerhed i jeres seneste 20-F ved siden af jeres seneste modenhedsmåling, og markér de udsagn, målingen ikke underbygger.
Læs også: Selskabslovens § 115 · Rapportens opbygning
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
