Den, der bestiller en vurdering af koncernens sikkerhed, bestemmer tre ting: hvor bredt mandatet er, hvem rapporten går til, og hvor frit de interviewede tør tale. Bestiller CISO, bliver vurderingen et redskab for sikkerhedsfunktionen. Bestiller bestyrelsen eller revisionsudvalget, bliver den et redskab til tilsyn med hele ledelsen, også med CISO.
Ingen lov fastsætter, hvem der bestiller en ekstern vurdering. Valget er praksis, men det har store følger for, hvad resultatet kan bruges til.
Hvad loven siger, og hvad den ikke siger
NIS 2-lovens § 7, stk. 1, lægger godkendelsen af foranstaltningerne og tilsynet med deres gennemførelse hos ledelsesorganet. Paragraffen handler om godkendelse og tilsyn. Den siger intet om, hvem der skal bestille en vurdering, eller om der overhovedet skal bestilles en ekstern.
At ledelsesorganet fører tilsyn, er dog et argument for, at ledelsesorganet selv bør have adgang til et uafhængigt billede. Det er en tolkning, ikke et krav.
Forordning 2024/2690 kræver i sit bilag, punkt 1.2.3, en direkte linje fra mindst én sikkerhedsansvarlig til ledelsesorganerne, og punkt 2.3.3 siger, at resultaterne af de uafhængige gennemgange rapporteres til ledelsesorganerne. Forordningen gælder kun en gruppe digitale udbydere, men den viser en tydelig tanke: resultatet hører hjemme hos det øverste organ.
Intern revision som forbillede
IIA’s standarder for interne revisionsfunktioner fra januar 2024 lægger i standard 9.4 godkendelsen af revisionsplanen hos bestyrelsen. Revisionschefen skal også fortælle bestyrelsen, når ressourcerne ikke rækker, og når et risikabelt område bliver holdt ude.
Den konstruktion er bygget for at sikre, at revisionen kan se på hele ledelsen, også på dem, der normalt styrer budgettet. Samme logik kan bruges, når en ekstern vurdering skal bestilles: jo højere opdragsgiveren sidder, jo mere kan vurderingen se på.
Fire mulige bestillere
- CISO · Mandatet: Sikkerhedsfunktionens område · Rapporten går til: CISO, evt. videre op · Hvor frit der tales: Frit om enhederne, mindre frit om CISO selv
- Direktion · Mandatet: Hele driften · Rapporten går til: Direktionen · Hvor frit der tales: Frit om organisationen, mindre om direktionens prioriteringer
- Revisionsudvalg · Mandatet: Tilsynets behov · Rapporten går til: Udvalget og bestyrelsen · Hvor frit der tales: Frit, også om direktion og CISO
- Bestyrelse · Mandatet: Hele koncernen · Rapporten går til: Bestyrelsen · Hvor frit der tales: Frit, men ofte langt fra den daglige drift
Opstillingen er sitets. Den er en forenkling, og i mange koncerner bestilles vurderingen af én og godkendes af en anden.
Hvorfor CISO ofte bestiller, og hvad det koster
I mange koncerner er det CISO, der tager initiativet, fordi CISO har brug for et grundlag for sine prioriteringer. Det er naturligt, og vurderingen bliver ofte god til at finde svagheder i enhederne.
Ulempen er, at vurderingen kun i begrænset omfang kan se på sikkerhedsfunktionen selv: om den har de rigtige ressourcer, om den har adgang til direktion og bestyrelse, og om dens egne prioriteringer holder. De interviewede i enhederne kan også opleve vurderingen som CISO’s kontrol af dem og svare derefter.
En gængs løsning er, at CISO forbereder vurderingen, men at revisionsudvalget eller direktionen står som opdragsgiver og modtager rapporten først.
Når flere selskabsledelser er involveret
I en koncern er der ofte mere end én bestyrelse. Datterselskaberne har deres egne ledelsesorganer, og efter NIS 2-loven er det den omfattede enheds ledelsesorgan, der godkender og fører tilsyn. Det er en tolkning, at hvert omfattet selskab dermed selv har ansvaret, men tolkningen har en praktisk følge: Bestiller moderselskabet en vurdering, bør det aftales, hvordan resultaterne for det enkelte selskab når frem til dets egen ledelse.
En gængs løsning er, at moderselskabet bestiller og ejer koncernrapporten, mens hvert selskab får sin egen enhedsrapport, som dets ledelse kan bruge i sit eget tilsyn. Hvordan datterselskabernes egne bestyrelser indgår, er uddybet i datterselskabets egen bestyrelse.
Rapportvejen
Uanset hvem der bestiller, bør det aftales på forhånd, hvem der ser rapporten først, og hvem der kan kommentere den, før den går videre. En rapport, der først går til CISO og derefter til udvalget, kan blive redigeret undervejs. En rapport, der går direkte til udvalget, kan komme som en overraskelse for direktionen.
Det er praksis at aftale en faktuel gennemgang med de ansvarlige, før rapporten afleveres, og at holde vurderingens konklusioner uændrede efter den gennemgang. Faktuelle fejl rettes. Vurderinger rettes ikke.
Ny formand eller ny ejer
Når en koncern får en ny bestyrelsesformand eller en ny ejer, er det ofte anledning til en vurdering. Den nye opdragsgiver vil have et billede, der ikke er farvet af den hidtidige ledelse. I den situation er det særlig vigtigt, at mandatet er bredt, og at rapporten går direkte til det organ, der har bestilt den.
Vurderingen bør i så fald også se på, hvordan sikkerheden hidtil er blevet rapporteret opad. Afstanden mellem det, bestyrelsen har fået at vide, og det, vurderingen finder, er i sig selv et fund. Hvordan en vurdering ser på sikkerhedsfunktionens placering, er beskrevet i CISO’s rapporteringslinje som auditpunkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beslutning i ledelsen om, hvem der står som opdragsgiver, og en kort aftale om mandat og rapportvej. Det tager ét møde, men det skal tages, før vurderingen går i gang.
Lader man det være, bliver opdragsgiveren den, der skrev under på aftalen. Det er ofte CISO eller IT-direktøren, og så kan vurderingen ikke se frit på det område, de selv har ansvaret for. Bestyrelsen får et billede, der er filtreret, uden at nogen har ment det sådan.
Det skal I lade være med
- At lade den, der skal vurderes, være eneste modtager af rapporten · så kan konklusionerne blive blødt op.
- At skrive, at loven bestemmer, hvem der bestiller · det gør den ikke.
- At rette vurderinger under den faktuelle gennemgang · kun fejl i fakta skal rettes.
Det skal gennemgangen kunne vise
- ☐ En skriftlig angivelse af opdragsgiveren og mandatet.
- ☐ En aftalt rapportvej med navngivne modtagere.
- ☐ Spor af den faktuelle gennemgang og hvad der blev rettet.
- ☐ En vurdering af, om sikkerhedsfunktionen selv er inden for mandatet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 1.2.3 og 2.3.3, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Beslut, hvem der står som opdragsgiver for næste vurdering, og skriv rapportvejen ned, før arbejdet aftales.
Læs også: Tre linjer efter IIA’s model fra 2020 · Modenhedsvurderingen i bestyrelsen
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
