Når en modenhedsvurdering kommer til bestyrelsen, bør mødet ende med tre beslutninger: hvilket målniveau koncernen skal nå, hvilke gab der lukkes først, og om ressourcerne passer til planen. En orientering uden beslutninger efterlader direktionen uden mandat og bestyrelsen uden grundlag for at følge op.
Artiklen giver en dagsorden, der fører frem til beslutningerne. Dagsordenen er praksis. Kilderne siger noget om, hvad bestyrelsen har ansvar for, men ikke om, hvordan mødet skal holdes.
Bestyrelsens rolle efter loven og vejledningerne
Efter selskabsloven har bestyrelsen pligt til at påse, at selskabet har de procedurer for risikostyring og intern kontrol, der er nødvendige (§ 115, nr. 2). IT og cybersikkerhed står ikke i paragraffen, så det er en tolkning at regne væsentlige cyberrisici med.
Er selskabet en væsentlig eller vigtig enhed under NIS 2-loven, skal ledelsesorganet godkende sikkerhedsforanstaltningerne og holde tilsyn med, at de gennemføres (§ 7, stk. 1). Styrelsen for Samfundssikkerhed knytter i sin vejledning ansvaret til bestyrelsens opgaver efter § 115 og skriver, at ledelsen skal beslutte, hvilke foranstaltninger organisationen skal have, og hvornår beskyttelsen er tilstrækkelig. Det gælder kun de omfattede enheder.
Bestyrelsesforeningen foreslår, at bestyrelsen hvert år, og oftere ved behov, lægger strategien for cybersikkerhed fast med risikoappetit, og at den gør det med blik for bl.a. forretningsstrategi, sikkerhedsbudget og investeringsvilje. Den britiske kodeks for bestyrelser har beslægtede handlinger: risikoappetit og handlingsplan (A3), ressourcer fordelt til de aftalte risici (B3) og opfølgning på, at strategien leverer (B4). Begge er anbefalinger, ikke krav.
En dagsorden i fem punkter
Dagsordenen herunder er tænkt til et møde, hvor vurderingen behandles første gang.
- 1. Resultatet kort · Formål: Fælles forståelse af niveauet · Grundlag: Koncernbilledet, spredning og laveste enheder
- 2. Målniveau · Formål: Beslutning om, hvor koncernen skal hen · Grundlag: Forslag fra direktionen pr. område
- 3. Gab og prioritering · Formål: Beslutning om, hvad der lukkes først · Grundlag: Prioriteret handlingsplan
- 4. Ressourcer · Formål: Beslutning om, at planen kan gennemføres · Grundlag: Direktionens vurdering af bemanding og investeringer
- 5. Opfølgning · Formål: Hvem følger op, hvornår, og på hvilke nøgletal · Grundlag: Forslag til måleserie og næste vurdering
Punkt 1 bør tage kort tid. Resten af mødet går til punkt 2 til 4, fordi det er dér, beslutningerne ligger.
Målniveauet
NIST CSF 2.0 beskriver en målprofil, som organisationen sætter ud fra sin risiko, og et gab mellem nuværende profil og målprofil. Det er praksis, at målniveauet varierer mellem områder. Højeste trin overalt er sjældent det rigtige mål, fordi det koster uden at mindske risikoen tilsvarende. Det er beskrevet i målniveau pr. område.
Direktionen bør komme med et forslag, som bestyrelsen kan tage stilling til. Et tomt spørgsmål om, hvor højt koncernen skal ligge, fører sjældent til en beslutning.
Prioritering og ressourcer
Efter CSF 2.0 ender gabanalysen i en prioriteret handlingsplan, som kan have mange former, også et risikoregister. Bestyrelsen behøver ikke tage stilling til hver handling. Den bør tage stilling til rækkefølgen af de største gab, og til om planen er realistisk med de ressourcer, der er til rådighed.
Ressourcer beskrives her uden beløb. Spørgsmålet er, om bemanding, kompetencer og investeringsvilje passer til planen, eller om målniveauet eller tidsplanen skal justeres. Vejen fra gab til en egentlig investeringssag står i fra modenhedsgab til investeringssag.
Referatet
Det er god praksis, at referatet nævner de konkrete beslutninger: målniveau pr. område, de prioriterede gab, eventuelle ændringer i ressourcer og datoen for næste opfølgning. Står der kun, at bestyrelsen tog vurderingen til efterretning, er der intet at følge op på. Opfølgning efter en audit i almindelighed er emnet på sitet om den almene audit og NIS2-audit.
Når bestyrelsen ikke er enig med direktionen
Det kan ske, at bestyrelsen finder direktionens forslag til målniveau for lavt eller for højt, eller at den mener, at prioriteringen er forkert. Det er en sund drøftelse. Det er praksis, at bestyrelsen så beder om et revideret forslag til næste møde frem for at ændre planen på stedet, fordi ændringer i målniveau har følger for ressourcer og tidsplan, som direktionen skal kunne regne på.
Bestyrelsen kan også bede om en uafhængig vurdering af et enkelt område, hvis den er i tvivl om grundlaget. Det giver et sikrere grundlag for den endelige beslutning.
Datterselskabernes bestyrelser
I en koncern har datterselskaber med egen bestyrelse deres egne pligter. Det er praksis at sende hvert selskabs enhedsbillede til selskabets egen bestyrelse, så den kan tage stilling til sine egne forhold inden for koncernens rammer.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at direktionen forbereder konkrete forslag til målniveau, prioritering og ressourcer, og at vurderingen sendes ud i god tid. Det kræver også, at mødet har tid nok til punkt 2 til 4.
Uden beslutninger bliver vurderingen en rapport, der ligger i mappen. Direktionen ved ikke, hvad den skal levere, og bestyrelsen kan ikke se, om den leverer.
Det skal I lade være med
- At tage vurderingen til efterretning · referatet skal vise beslutninger.
- At sætte højeste trin som mål overalt · målniveauet bør følge risikoen.
- At beslutte en plan uden at se på ressourcerne · så holder tidsplanen ikke.
Det skal gennemgangen kunne vise
- ☐ Et referat med beslutning om målniveau.
- ☐ En prioriteret handlingsplan godkendt af bestyrelsen.
- ☐ En stillingtagen til, om ressourcerne passer til planen.
- ☐ En dato og et grundlag for næste opfølgning.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025, § 115, læst 14. november 2026.
- NIS 2-loven, lov nr. 434 af 6. maj 2025, § 7, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 3, læst 14. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, september 2023, tema 2, læst 14. november 2026.
- UK, Cyber Governance Code of Practice, 8. april 2025, A3, B3 og B4, læst 14. november 2026.
- NIST CSF 2.0, afsnit 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed direktionen om at sende et forslag til målniveau pr. område sammen med vurderingen til næste bestyrelsesmøde.
Læs også: Scoren i revisionsudvalget · Selskabslovens § 115
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
