En kapitalfond, der vil følge sikkerheden i sine porteføljeselskaber, kan ikke bygge på fælles systemer eller fælles ledelse. Den kan til gengæld kræve en fælles målestok: samme skala, samme spørgsmål og samme krav til bevis i alle selskaber, aftalt gennem ejerstyringen og behandlet i hvert selskabs bestyrelse. Så kan ejeren sammenligne, mens hvert selskab bevarer sin egen IT og sit eget ansvar.
Artiklen handler om måling i ejertiden, efter at selskaberne er kommet i porteføljen. Den indeholder ingen vurdering af, hvordan en kapitalfonds struktur med fond, forvalter og holdingselskaber passer ind i selskabslovens koncernbegreb. Det spørgsmål er ikke undersøgt her, og porteføljeselskaberne omtales derfor ikke som en koncern i juridisk forstand.
Hvorfor porteføljen er en særlig opgave
I en almindelig koncern kan hovedkontoret levere fælles tjenester, fælles politikker og en fælles sikkerhedsfunktion. I en portefølje er selskaberne ofte i forskellige brancher, med forskellige størrelser og forskellige IT-modeller. De har hver deres direktion og bestyrelse. Det, der binder dem sammen, er ejeren.
Det betyder, at ejeren skal styre gennem de kanaler, den har: bestyrelsesposterne, ejeraftalerne, de krav der stilles ved overtagelsen, og den rapportering ejeren beder om. Hvordan mandat og adgang aftales i en ejerstruktur, er praksis og hviler på aftale og ejerstyring.
Hvert selskab har sit eget ansvar
I hvert porteføljeselskab med bestyrelse er det bestyrelsen, der efter selskabslovens § 115 skal påse, at risikostyring og interne kontroller er på plads. En fælles måling fra ejeren ændrer ikke på det. Den kan til gengæld give hver bestyrelse et bedre grundlag for at udfylde rollen.
Om et porteføljeselskab er omfattet af NIS 2, vurderes for det enkelte selskab. SAMSIK beskriver i sin vejledning fra maj 2025, at tilknyttede virksomheder og partnervirksomheder med visse undtagelser kan tælle med i vurderingen af størrelsen, og at uafhængighed i net- og informationssystemer har betydning. Hvilke undtagelser der gælder for investorer, er ikke undersøgt her. Spørgsmålet om, hvem der er omfattet, hører til hvert selskabs eget NIS 2-arbejde.
Den fælles målestok
- Skala · Hvad der er fælles: Samme trin med samme beskrivelser · Hvad der er lokalt: Ingenting
- Spørgsmål · Hvad der er fælles: Et fælles kerneskema · Hvad der er lokalt: Et branchetillæg, der ikke indgår i den fælles score
- Bevis · Hvad der er fælles: Samme krav til, hvad et trin kræver · Hvad der er lokalt: Hvilke dokumenter der viser det
- Målniveau · Hvad der er fælles: Et fælles minimum for alle selskaber · Hvad der er lokalt: Højere niveau efter selskabets risiko og regulering
- Tidspunkt · Hvad der er fælles: Samme måleperiode hvert år · Hvad der er lokalt: Ingenting
- Rapport · Hvad der er fælles: Samme opbygning til ejeren · Hvad der er lokalt: Detaljer til selskabets egen ledelse
Opdelingen er en praktisk model. Pointen er, at det fælles er det, der gør sammenligning mulig, og det lokale er det, der gør målingen relevant for selskabet.
Hvem måler?
Uden en fælles sikkerhedsfunktion har kapitalfonden tre muligheder. Selskaberne kan måle sig selv efter det fælles skema. Ejeren kan lade en uafhængig part måle alle selskaber. Eller der kan være en kombination, hvor selskaberne måler sig selv, og en uafhængig part efterprøver et udsnit. Den sidste model er beskrevet i selvrapportering fra enhederne med central stikprøvekontrol.
Bruges den samme uafhængige part i alle selskaber, bliver sammenligneligheden større. Men det skal aftales med hvert selskab, og selskabets egen ledelse bør have indflydelse på, hvem der får adgang.
Når et selskab sælges videre
Selskaber forlader porteføljen igen. En måleserie med samme metode over hele ejertiden giver ejeren et billede af, hvordan sikkerheden har udviklet sig, mens selskabet var i porteføljen. Den kan også være nyttig for selskabet selv, som får en dokumenteret historik at bygge videre på efter ejerskiftet. Det kræver, at rapporterne er gemt og kan genfindes, og at selskabet har fået sine egne resultater undervejs.
Revisionsudvalg i fondsstrukturen
Revisorloven fritager alternative investeringsfonde fra kravet om revisionsudvalg (§ 31, stk. 9, nr. 3). Det er en regel om revisionsudvalg og ikke en regel om cybersikkerhed. Den nævnes her som baggrund: i en fondsstruktur kan det være uklart, hvilket organ der følger med i risikostyringen på tværs, og det bør ejeren selv tage stilling til.
Rapporteringen til ejeren
Ejeren har brug for et billede af porteføljen, der kan læses hurtigt: hvert selskabs score mod sit målniveau, udviklingen siden sidst og de alvorligste åbne fund. Rapporten bør vise, hvilke tal der er efterprøvet. Den bør også vise, hvornår et selskab er kommet ind i porteføljen eller er solgt, så udviklingen i det samlede billede kan forklares.
En portefølje ændrer sig hurtigere end en koncern. Selskaber kommer til og forsvinder. En fast regel for, hvornår et nyt selskab indgår i det samlede billede, er derfor endnu vigtigere end i en koncern. Reglen kendes fra koncernens opkøb, hvor den er gennemgået nærmere.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fælles målestok, som hvert selskabs bestyrelse har tiltrådt, en aftale om, hvem der måler og efterprøver, og en rapportering til ejeren med fast opbygning. Det kræver også respekt for, at hvert selskab har sin egen ledelse og sit eget ansvar.
Uden en fælles målestok får ejeren rapporter, der ikke kan sammenlignes, fordi hvert selskab har brugt sin egen ramme og sin egen skala. Ejeren kan ikke se, hvor risikoen i porteføljen er størst, og kan ikke prioritere sin opmærksomhed.
Det skal I lade være med
- At omtale porteføljen som én koncern uden at have det afklaret · fondens struktur er ikke undersøgt her.
- At acceptere selskabernes egne skalaer i ejerrapporten · tallene kan da ikke stilles op mod hinanden.
- At gå uden om selskabernes egne bestyrelser · ansvaret ligger i hvert selskab.
Det skal gennemgangen kunne vise
- ☐ En fælles målestok med skala, kerneskema og krav til bevis.
- ☐ Hvert selskabs bestyrelses tiltrædelse af målingen.
- ☐ Angivelse af, hvilke tal der er efterprøvet.
- ☐ En regel for, hvornår selskaber kommer ind i og ud af det samlede billede.
Kilder
- Lovbekendtgørelse nr. 331 af 20. marts 2025 (selskabsloven), §§ 6, 7 og 115, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Anvendelsesområdet, maj 2025, kap. 3, læst 14. november 2026.
- Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), § 31, stk. 9, nr. 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Saml de seneste sikkerhedsrapporter fra porteføljeselskaberne, og se, om de er lavet efter samme skala.
Læs også: Benchmark på tværs af forretningsenheder · Ét framework for hele koncernen eller flere?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
