En rapport om cybersikkerhed til bestyrelsen bliver først nyttig, når den har samme opbygning og de samme tal hver gang. Så kan bestyrelsen se udviklingen pr. selskab og for koncernen, og afvigelser springer i øjnene i stedet for at drukne i nye figurer.
Hvor ofte rapporten skal komme, er ikke fastlagt i dansk lov. Den britiske kodeks for bestyrelser anbefaler mindst hvert kvartal. Bestyrelsesforeningens danske vejledning anbefaler rapportering forud for hvert møde. Denne artikel bruger kvartalet som eksempel, fordi det passer til mange bestyrelsers mødeplan.
Hvad kilderne anbefaler om hyppighed
I den britiske kodeks for bestyrelsers arbejde med cybersikkerhed står formel rapportering mindst hvert kvartal som handling E2. Kodeksen er britisk og frivillig og er ikke et dansk krav.
Bestyrelsesforeningens Center for Cyberkompetencer vil have, at cybersikkerhed er en fast del af årshjulet på linje med andre væsentlige risici, og at emnet er på dagsordenen på hvert møde. Rapporteringen sker forud for mødet med bl.a. det aktuelle trusselsbillede, sikkerhedshændelser, resultater af sikkerhedstest, awareness-aktiviteter og revisionsgennemgange.
Hos Styrelsen for Samfundssikkerhed finder man i NIS 2-vejledningen et eksempel, hvor direktionen modtager ledelsesrapportering halvårligt med status på en række målepunkter og indikatorer. Halvårligt er vejledningens eksempel og ikke et krav.
Kvartalet er altså én mulighed blandt flere. Det vigtige er, at rapporten følger bestyrelsens møder, og at den har samme form fra gang til gang.
Hvorfor fast struktur
Komitéen for god Selskabsledelse peger i sine anbefalinger på, at redegørelsen for virksomhedsledelse bliver lettere at sammenligne, når opbygningen er den samme hvert år. Komitéen taler om redegørelsen, ikke om cyberrapporten. Det er sitets tolkning, at samme fordel gælder for en kvartalsrapport: når strukturen ligger fast, kan læseren sammenligne uden at skulle orientere sig hver gang.
En fast måleserie betyder, at de samme nøgletal vises med samme definition i hver rapport. Skifter et nøgletal definition, skal det stå i rapporten, og den gamle serie skal vises ved siden af den nye i mindst én periode.
En opbygning, der viser udvikling
Opbygningen herunder er praksis og sitets forslag. Den er tænkt til en koncern med flere selskaber.
- 1. Det, bestyrelsen skal beslutte · Højst tre punkter med anbefaling
- 2. Koncernbilledet · De faste nøgletal for koncernen med udvikling over de seneste fire kvartaler
- 3. Enhederne · Samme nøgletal pr. selskab, så den svageste enhed kan ses
- 4. Fravigelser · Tal uden for de tolerancer, bestyrelsen har fastsat
- 5. Hændelser · Væsentlige hændelser siden sidst og deres status
- 6. Fund og handleplaner · Åbne fund fra seneste vurdering, ejer og frist
- 7. Trusselsbillede og regler · Kort, kun det, der ændrer prioriteringerne
- 8. Begrænsninger · Det, rapporten ikke dækker, fx selskaber uden data
Det første afsnit står først, fordi det er det, bestyrelsen skal handle på. Resten er grundlaget.
Koncernbilledet og enhedsbilledet
Det samlede tal for koncernen kan skjule store forskelle. Et gennemsnit, der ligger pænt, kan dække over ét selskab, der ligger langt under. Derfor bør rapporten altid vise tallene pr. enhed ved siden af det samlede.
Det er god praksis at vise udviklingen over fire kvartaler, så både en pludselig ændring og en langsom glidning kan ses. En enkelt pil op eller ned siger mindre end en kort række.
Har koncernen købt et selskab i perioden, bør det stå tydeligt, hvornår det kom med i måleserien, og at koncerntallet derfor kan have flyttet sig af den grund. Ellers ligner et opkøb en forværring.
Det, der ikke skal med
Rapporten bliver ikke bedre af flere tal. Detaljer om enkelte sårbarheder, lister over blokerede angreb og tekniske logs hører til i driften. Bestyrelsesforeningens vejledning nævner selv begrænsninger og udeladelser som et punkt i rapporten. Det giver læseren besked om, hvor billedet er ufuldstændigt.
Hvem laver rapporten
I mange koncerner er det CISO eller anden linje, der samler rapporten. Det er praksis, at direktionen godkender den, før den går til bestyrelsen, så det er direktionens rapport og ikke en fagfunktions. Intern revision kan med mellemrum efterprøve, at tallene er beregnet efter definitionerne.
Når rapporten går i stå
En kvartalsrapport kan blive en rutine, som alle læser hurtigt, fordi intet ændrer sig. Det er et tegn på, at tallene enten er for grove til at vise bevægelse, eller at de ikke længere hænger sammen med det, bestyrelsen bekymrer sig om. Det er praksis at se nøgletallene igennem én gang om året, samtidig med at strategien og risikoappetitten behandles. Nøgletal, der ikke har ført til en eneste drøftelse i et år, kan erstattes, men skiftet skal stå i rapporten, og den gamle serie skal vises i en overgangsperiode.
En anden fare er det modsatte: at rapporten vokser, fordi hver ny hændelse eller regel får sit eget afsnit. Strukturen bør være stabil, og nyt stof bør placeres under de faste overskrifter. Så kan bestyrelsen finde det samme sted hver gang.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skabelon, der ligger fast, faste definitioner af nøgletallene og data fra alle selskaber i samme format. Første rapport tager tid. De næste tager mindre, fordi strukturen er givet.
Uden fast struktur bliver hver rapport en ny fortælling. Bestyrelsen kan ikke se, om det går frem eller tilbage, og direktionen kan vælge de tal, der ser bedst ud den pågældende gang.
Det skal I lade være med
- At skifte nøgletal fra rapport til rapport · så forsvinder udviklingen.
- At vise kun koncerntallet · det skjuler den svageste enhed.
- At kalde kvartalsvis rapportering et dansk krav · det er en britisk og frivillig anbefaling.
Det skal gennemgangen kunne vise
- ☐ En fast skabelon for rapporten til bestyrelsen.
- ☐ Samme nøgletal med samme definition over mindst fire perioder.
- ☐ Tal pr. selskab ved siden af koncerntallet.
- ☐ Et afsnit om begrænsninger og om selskaber, der mangler data.
Kilder
- UK, Cyber Governance Code of Practice, 8. april 2025, handling E2, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 4, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 4, læst 14. november 2026.
- Komitéen for god Selskabsledelse, Anbefalinger, 2. december 2020, kapitel 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg de seneste fire rapporter til bestyrelsen ved siden af hinanden, og tæl, hvor mange nøgletal der går igen i alle fire.
Læs også: Tolerancer · Den svageste enhed
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
