Efter selskabslovens § 115 skal bestyrelsen påse, at selskabet har etableret de procedurer for risikostyring og interne kontroller, der er fornødne. Bestemmelsen nævner ikke IT eller cybersikkerhed. Det er en tolkning, at den omfatter cyberrisici, når de er væsentlige for selskabet.
En gentagen måling af sikkerhedsmodenheden kan være en del af den dokumentation, bestyrelsen bruger til at vise, at den har påset procedurerne. Loven kræver ikke en måling. Artiklen forklarer, hvad bestemmelsen siger, og hvordan en måling kan bruges.
Hvad bestemmelsen siger
Selskabsloven gælder i dag som lovbekendtgørelse nr. 331 af 20. marts 2025. Efter § 115 skal bestyrelsen i kapitalselskaber med bestyrelse ud over at varetage den overordnede og strategiske ledelse og sikre en forsvarlig organisation påse fem forhold. Nummer 2 handler om procedurer for risikostyring og interne kontroller. De øvrige handler om bogføring og regnskab, løbende rapportering om de finansielle forhold, at direktionen udøver sit hverv behørigt og efter bestyrelsens retningslinjer, og at kapitalberedskabet er forsvarligt.
§ 116 giver et tilsynsråd de samme pligter. § 117 siger, at direktionen varetager den daglige ledelse og skal følge bestyrelsens retningslinjer og anvisninger. Det giver en arbejdsdeling: bestyrelsen påser, at procedurerne findes, og direktionen etablerer og driver dem.
Ingen af bestemmelserne nævner IT, informationssikkerhed eller cybersikkerhed. Det er vigtigt at holde fast i, når bestemmelsen bruges i en sikkerhedssammenhæng.
Koblingen til cybersikkerhed
Styrelsen for Samfundssikkerhed skriver i NIS 2-vejledningen om ledelsens rolle fra maj 2025, at ledelsesansvaret efter NIS 2-loven skal ses i forlængelse af de opgaver, bestyrelsen har for risikostyring ifølge selskabslovens § 115. Vejledningen skriver også, at cybersikkerhed ikke er anderledes end andre risikostyringsområder.
Vejledningen er skrevet til NIS 2-enheder, og for dem har myndigheden selv beskrevet koblingen. For andre selskaber er det en tolkning, at cyberrisici hører under § 115, når de er væsentlige. Tolkningen er nærliggende, fordi bestemmelsen taler om risikostyring generelt, men den er ikke skrevet i loven.
Hvad en måling kan dokumentere
At påse betyder, at bestyrelsen skal sikre sig, at procedurerne findes og virker. Det er en tolkning og praksis, at en gentagen modenhedsmåling kan indgå i den dokumentation på tre måder.
- At procedurerne findes · en måling efter et kendt rammeværk viser, hvilke procedurer der er etableret, og i hvilke selskaber.
- At de følges op · en måleserie over flere år viser, om svagheder bliver rettet, og om niveauet bevæger sig mod det mål, bestyrelsen har sat.
- At bestyrelsen har handlet · referater, hvor bestyrelsen har behandlet målingen og truffet beslutninger, viser, at den har påset.
Det sidste punkt er det vigtigste. En måling, bestyrelsen aldrig har drøftet, dokumenterer ikke, at bestyrelsen har påset noget.
En måling er ikke det eneste mulige grundlag. Rapporter fra intern revision, ledelsesrapportering med nøgletal og eksterne gennemgange kan også indgå. Hvad der passer, afhænger af selskabets størrelse og risici.
Datterselskaber
§ 115 gælder i hvert kapitalselskab med bestyrelse, også i datterselskaber. Det betyder, at datterselskabets bestyrelse har sin egen pligt, selvom koncernen styrer IT centralt. Det er beskrevet i datterselskabets egen bestyrelse. En koncernmåling kan dokumentere forholdene for flere selskaber på én gang, hvis den viser resultater pr. selskab.
Hvad loven ikke siger
Loven siger ikke, hvor ofte risikostyringen skal vurderes, hvilket rammeværk der skal bruges, eller at der skal være en ekstern vurdering. Den siger heller ikke noget om, hvilket niveau sikkerheden skal have. Det er bestyrelsens egen vurdering, hvad der er de fornødne procedurer for netop dette selskab.
Det er derfor forkert at skrive, at selskabsloven kræver en modenhedsmåling eller en bestemt sikkerhedsstandard. En måling er et redskab, bestyrelsen kan vælge. Hvilken rolle ledelsen har i en audit, uanset emne, står på sitet om auditmetoden, som også dækker NIS2.
Tre spørgsmål, bestyrelsen kan stille sig selv
Det er praksis, at bestyrelsen én gang om året spørger sig selv om tre ting. Ved vi, hvilke cyberrisici der er væsentlige for selskabet? Har vi et grundlag for at vurdere, om procedurerne er tilstrækkelige? Og har vi truffet beslutninger, hvor grundlaget viste svagheder? Kan bestyrelsen svare ja og pege på dokumentation, har den et godt udgangspunkt. Kan den ikke, ved den, hvad der skal på dagsordenen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen har et grundlag for at vurdere, om procedurerne for cyberrisici er de fornødne, og at den behandler grundlaget og træffer beslutninger, der står i referatet. En gentagen måling er en måde at skaffe grundlaget.
Lader man være, kan bestyrelsen have svært ved at vise, hvad den har gjort for at påse risikostyringen på et område, mange i dag regner som væsentligt. Hvad det betyder i det enkelte selskab, må vurderes konkret. Teksten her erstatter ikke juridisk rådgivning.
Det skal I lade være med
- At skrive, at § 115 nævner cybersikkerhed · den gør ikke.
- At skrive, at loven kræver en måling · målingen er et redskab, bestyrelsen kan vælge.
- At lade målingen ligge uden behandling · det er beslutningerne, der dokumenterer.
Det skal gennemgangen kunne vise
- ☐ Et grundlag for bestyrelsens vurdering af procedurerne for cyberrisici.
- ☐ Referater, hvor grundlaget er behandlet, og beslutninger truffet.
- ☐ Resultater pr. selskab, hvis koncernen har flere bestyrelser.
- ☐ En opfølgning over tid på de beslutninger, der er truffet.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025, §§ 115 til 117, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, maj 2025, kapitel 3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de referater fra det seneste år, hvor bestyrelsen har behandlet cyberrisici, og se, om de nævner beslutninger.
Læs også: Datterselskabets egen bestyrelse · Redegørelsen for virksomhedsledelse efter § 107 b
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
