Ejer koncernen kun en del af et selskab, kan den ikke uden videre kræve at måle dets sikkerhed. Retten til at måle, se resultater og følge op skal stå i ejeraftalen eller aftales med de andre ejere. Står den ikke der, er koncernens muligheder begrænset til det, selskabet frivilligt vil dele, og det, koncernen kan beskytte sig mod i sine egne systemer.
Joint ventures og minoritetsposter bliver ofte glemt i koncernens måling, fordi de ikke indgår i de normale ledelseslinjer. Alligevel kan de være tæt forbundet med koncernens systemer, data og kunder.
Bestemmende indflydelse og det, der følger af den
Efter selskabsloven er en virksomhed dattervirksomhed, når et moderselskab har bestemmende indflydelse. Det foreligger ved mere end halvdelen af stemmerettighederne. Uden stemmeflertal kan det også følge af en aftale eller vedtægterne, af retten til at udpege bestyrelsens flertal eller af et faktisk flertal (§ 7, stk. 2 og 3). Ejer koncernen halvdelen eller mindre og har ingen af de andre former for indflydelse, er selskabet ikke en dattervirksomhed.
Artiklen bygger på aftaleforholdet mellem ejerne og indeholder ingen vurdering af, hvad selskabsretten i øvrigt giver en minoritetsejer. Det er et spørgsmål til koncernens jurist.
NIS 2-størrelsen er et andet spørgsmål
Vejledningen fra Styrelsen for Samfundssikkerhed (maj 2025) regner med visse undtagelser et selskab som partnervirksomhed, når ejerandelen ligger mellem 25 og 50 procent, og en partner kan tælle forholdsmæssigt med, når størrelsen vurderes. Reglen angår lovens anvendelse og giver ingen adgang til måling. Hvem der er omfattet, ligger uden for denne artikel.
Hvorfor de delejede selskaber ofte glemmes
Delejede selskaber står sjældent på koncernens interne lister over enheder. De har deres egen direktion og egne systemer, og kontakten går ofte gennem en enkelt person i forretningen. Alligevel kan et joint venture bruge koncernens netværk, dele kunder eller have medarbejdere udlånt fra koncernen med koncernens brugerkonti. Start derfor med en liste over delejede selskaber og deres faktiske forbindelser, før spørgsmålet om måling rejses.
Det, der bør stå i ejeraftalen
Hvad der skal stå i en ejeraftale, er praksis og afhænger af forholdet mellem ejerne. Følgende punkter giver koncernen et grundlag for at måle:
- Ret til måling · (Hver ejer kan anmode om en vurdering af selskabets sikkerhed en gang om året)
- Målestok · (Vurderingen sker efter en aftalt ramme, fx koncernens egen model eller en navngiven standard)
- Udførelse · (En uafhængig part, som begge ejere godkender, udfører vurderingen)
- Resultater · (Begge ejere modtager samme rapport)
- Fortrolighed · (Rapporten må kun bruges til ejerstyring og deles ikke videre)
- Opfølgning · (Selskabets bestyrelse behandler resultatet og fastlægger en handlingsplan)
- Hændelser · (Selskabet underretter ejerne om alvorlige sikkerhedshændelser inden for en aftalt frist)
Tabellen er en skabelon med tænkte formuleringer i parentes. Formuleringerne skal tilpasses af dem, der forhandler aftalen.
Det er lettest at få punkterne med, når aftalen alligevel skal ændres, fx ved en kapitaludvidelse, et ejerskifte eller en ny aftale om samarbejdets omfang. På det tidspunkt er alle ejere ved bordet, og et forslag om fælles indsigt i sikkerheden er sjældent kontroversielt.
Hændelsespunktet er værd at fremhæve. Selv uden ret til måling har koncernen stor interesse i at få at vide, når noget går galt, især hvis selskabet har adgang til koncernens systemer.
Når det ikke står i aftalen
Mange ejeraftaler er skrevet, før cybersikkerhed var et emne for ejerne. Så har koncernen tre veje:
- Bede om det. De andre ejere har ofte samme interesse. En fælles anmodning gennem selskabets bestyrelse kan give en frivillig vurdering.
- Bruge bestyrelsesposterne. Har koncernen medlemmer i selskabets bestyrelse, kan de rejse spørgsmålet om risikostyring. Efter selskabslovens § 115 skal bestyrelsen i et kapitalselskab påse selskabets risikostyring og interne kontroller. Hvad medlemmerne derefter må dele med koncernen, afhænger af aftalen og bør afklares med jurist.
- Beskytte sig selv. Hvis selskabet er forbundet med koncernens systemer, kan koncernen behandle forbindelsen som en ekstern part: begrænse adgang, adskille netværk og overvåge trafikken.
Den tredje vej er altid mulig og kræver ingen aftale. Den bør bruges, når de to første ikke giver indsigt nok.
Når koncernen selv er minoritet hos en partner
Det omvendte forhold findes også. En partner kan eje en del af et af koncernens selskaber og bede om indsigt i sikkerheden. Så er det koncernen, der skal tage stilling til, hvad den vil dele. Samme punkter i ejeraftalen beskytter begge veje: hvad der deles, i hvilken form, og hvad modtageren må bruge det til. Har koncernen en fast praksis for, hvad den deler med medejere, er det lettere at stille tilsvarende krav den anden vej.
I koncernens rapport
Delejede selskaber bør vises for sig i koncernens måling. De indgår ikke i koncerntallet på samme måde som dattervirksomheder, fordi koncernen ikke styrer dem. Vis, hvilke delejede selskaber der er målt, på hvilket grundlag, og hvilke der ikke er. For de umålte selskaber kan rapporten vise, hvilke forbindelser de har til koncernen, og hvordan de er afgrænset.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernen har overblik over sine delejede selskaber og deres forbindelser til koncernens systemer, at ejeraftalerne bliver læst for bestemmelser om måling og hændelser, og at nye aftaler får punkterne med fra start.
Uden det kan et delejet selskab med svag sikkerhed og adgang til koncernens systemer være en blind plet. Koncernen får først at vide, at noget er galt, når det allerede har ramt den.
Det skal I lade være med
- At antage, at en ejerandel giver ret til måling · det skal stå i aftalen.
- At blande delejede selskaber ind i koncerntallet · de styres ikke af koncernen.
- At lade forbindelser fra delejede selskaber stå åbne, fordi målingen mangler · beskyt jer selv i mellemtiden.
Det skal gennemgangen kunne vise
- ☐ En liste over delejede selskaber med ejerandel og forbindelser til koncernens systemer.
- ☐ Ejeraftalernes bestemmelser om måling, resultater og hændelser.
- ☐ Grundlaget for hver måling af et delejet selskab.
- ☐ Afgrænsning af forbindelser til selskaber, der ikke kan måles.
Kilder
- Lovbekendtgørelse nr. 331 af 20. marts 2025 (selskabsloven), §§ 7 og 115, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ejeraftalerne for jeres delejede selskaber, og se efter, om de siger noget om sikkerhed, måling eller hændelser.
Læs også: Datterselskaber med egen IT · Kapitalfonden som ejer
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
