Bestyrelsens ansvar for cybersikkerhed
Digitalisering er blevet en forudsætning for næsten alle virksomheders drift, vækst og konkurrenceevne. Samtidig er cybertruslen mere kompleks og alvorlig end nogensinde før.
I dette indlæg beskriver jeg, hvordan bestyrelsen bør forholde sig til cybersikkerhed, herunder deres ansvar for at forstå og sikre en passende reaktion på de forskellige cybertrusler.
Introduktion
Med NIS2‑loven er cybersikkerhed ikke længere blot en teknisk disciplin. Det er et klart ledelsesansvar, og bestyrelsen er nu eksplicit forpligtet til at tage aktivt ejerskab. Det er tydeligt beskrevet i både loven og i “Vejledning til NIS 2-loven: Ledelsens rolle og opgaver”, der er udgivet af Styrelsen for Samfundssikkerhed (SAMSIK).
Men bestyrelsen i selskaber, der ikke er omfattet af NIS2, bør også have fokus på cybersikkerhed.
Bestyrelsesforeningens Center for Cyberkompetencer er etableret med formålet at uddanne bestyrelser og virksomhedsledere i at tage ansvar for cyberrisici og etablere et godt digitalt beredskab.
De har udarbejdet en vejledning, undervisningsmateriale og tilhørende skabeloner, der kan understøtte bestyrelsens arbejde med cyber- og informationsikkerhed.
Både SAMSIK’s vejledning om ledelsens rolle i NIS2 og Bestyrelsesforeningens anbefalinger understreger, at bestyrelsen skal arbejde systematisk, risikobaseret og strategisk med cybersikkerhed.
For at strukturere og skabe overblik over dette ansvar, tager gennemgangen i indlægget udgangspunkt i ISO 38500, som er international standard for Corporate Governance af informationsteknologi.
Standarden inddeler ledelsens ansvar i tre områder:
De tre områder er:
- Direct: Sæt retning, strategi og governance
- Evaluate: Vurder risici, modenhed og prioriteringer
- Monitor: Før tilsyn, følg op og dokumentér
Nedenfor gennemgår jeg, hvad bestyrelsen konkret skal gøre inden for hver af de tre områder.
Bestyrelsens ansvar
Sæt retning (DIRECT)
ISO 38500 beskriver ”Direct” som bestyrelsens ansvar for at fastlægge principper, strategier og politikker. Konkret betyder det, at bestyrelsen skal:
Fastlæg en cybersikkerhedsstrategi
Ifølge både NIS2 og Bestyrelsesforeningen skal bestyrelsen sikre, at virksomheden har en klar, risikobaseret cybersikkerhedsstrategi, der:
- Beskytter virksomhedens License to Operate (kritiske aktiver, processer og data)
- Afstemmer risikoappetit med forretningens mål
- Prioriterer investeringer i sikkerhed, beredskab og modstandsdygtighed
- Integrerer cybersikkerhed i kvalitetssikring, udvikling, indkøb og outsourcing
NIS2 kræver, at ledelsesorganet (bestyrelsen) godkender cybersikkerhedsstrategien og de sikkerhedsforanstaltninger, virksomheden implementerer.
Definer governance og organisering
Bestyrelsen skal sikre, at følgende er defineret:
- Hvem der har ansvar for cybersikkerhed (CISO, CIO, risikoejer)
- Hvordan rapportering og kontrol skal foregå
- Hvordan sikkerhed skal organiseres på tværs af organisationen (opdelt i forskellige forsvarslinjer)
- Hvordan leverandør- og forsyningskæderisici håndteres
Bestyrelsesforeningen anbefaler, at cybersikkerhed er fast punkt på bestyrelsens årshjul.
Fasthold kompetencer i bestyrelsen
NIS2 stiller krav om, at bestyrelsesmedlemmer skal gennemføre relevante kurser i styring af cyberrisici.
Bestyrelsesforeningen anbefaler løbende uddannelse og awareness‑træning. Se mere om dette i afsnittet “Uddannelse af bestyrelsen”.
Vurder (EVALUATE)
I ISO 38500 handler ”Evaluate” om at vurdere virksomhedens nuværende og fremtidige situation. For cybersikkerhed betyder det, at bestyrelsen skal vurdere strategien, behov, risici og eksterne faktorer, herunder om den nuværende IT-sikkerhed understøtter forretningsmålene, før der træffes beslutninger om væsentlige ændringer.
Understøt kultur og adfærd
Bestyrelsen skal gå forrest i at skabe en kultur, hvor cybersikkerhed er en naturlig del af virksomhedens drift og ikke kun ses som en IT‑opgave.
Modtag og vurder risikovurderinger
Bestyrelsen skal mindst én gang årligt – og oftere ved behov – modtage en opdateret risikovurdering, der dækker:
- Kritiske aktiver
- Trusselsbilledet
- Sårbarheder
- Sandsynlighed og konsekvens
- Eksisterende kontroller og beredskab
Dette er centralt i både NIS2 og Bestyrelsesforeningens anbefalinger.
Vurder risikoappetit
Bestyrelsen skal beslutte:
- Hvor meget cyberrisiko virksomheden vil acceptere
- Hvor der skal investeres i forebyggelse vs. beredskab
- Hvordan cyberrisici prioriteres i forhold til andre strategiske risici
Vurder strategiens effektivitet
Bestyrelsen skal løbende vurdere:
- Om strategien er tilstrækkelig
- Om investeringerne matcher risikoen
- Om organisationen har de nødvendige kompetencer
- Om governance‑modellen fungerer
Vurder leverandør- og tredjepartsrisici
NIS2 stiller skærpede krav til styring af forsyningskæden.
Bestyrelsen skal sikre, at virksomheden:
- Har overblik over kritiske leverandører
- Har kontraktuelle sikkerhedskrav
- Modtager dokumentation (fx revisionserklæringer)
Før tilsyn (MONITORj
I ISO 38500 handler ”Monitor” om at følge op på, om strategier og politikker efterleves. NIS2 gør dette til et lovkrav.
Modtag regelmæssig rapportering
Bestyrelsen skal løbende modtage rapportering om:
- Status på cybersikkerhedsforanstaltninger
- Kritiske hændelser og læring
- Sårbarheder og patch‑status
- Resultater af penetrationstests og audits
- Modenhedsvurderinger
- Status på beredskab og øvelser
Bestyrelsesforeningen anbefaler rapportering før hvert bestyrelsesmøde.
Før tilsyn med implementering
NIS2 kræver, at bestyrelsen fører tilsyn med, at:
- Godkendte foranstaltninger implementeres
- Foranstaltningerne virker efter hensigten
- Der følges op på afvigelser og hændelser
Dette kan ske via:
- Intern revision
- Ekstern revision
- Ledelsesrapportering
- KPI’er og kontrolmål
Sikre dokumentation
NIS2 kræver, at virksomheden kan dokumentere:
- Risikovurderinger
- Foranstaltninger
- Uddannelsesaktiviteter
- Hændelseshåndtering
- Ledelsens beslutninger
Håndter manglende efterlevelse
NIS2 giver mulighed for personlige sanktioner mod ledelsen i særlige tilfælde.
Bestyrelsen skal derfor sikre, at virksomheden:
- Har en moden og dokumenteret sikkerhedspraksis
- Reagerer hurtigt på myndighedskrav og henvendelser
- Løbende sikrer efterlevelse gennem nødvendige tilpasninger
Uddannelse af bestyrelsen
NIS2 stiller ikke kun krav om, at bestyrelsen skal forstå cyberrisici. Der stilles også krav om, at bestyrelsesmedlemmer aktivt gennemfører kurser i styring af cyberrisici og informationssikkerhed. Det er ikke længere tilstrækkeligt at have ét “it-kyndigt” medlem i bestyrelsen, som de øvrige læner sig op ad. Ansvaret er kollektivt, og derfor skal kompetencerne også være det.
Bestyrelsesforeningen anbefaler, at uddannelsen tilrettelægges på tre niveauer:
Grundlæggende forståelse, hvor alle bestyrelsesmedlemmer skal kunne forstå trusselsbilledet, centrale begreber som risikoappetit, sårbarhed og beredskab samt deres eget juridiske ansvar under NIS2.
Rolle-specifik fordybelse, hvor formanden og eventuelle udvalgsformænd, fx for audit- eller risikoudvalg, bør have en dybere forståelse af, hvordan cyberrisici vurderes og rapporteres, så de kan stille de rigtige spørgsmål til ledelsen.
Løbende ajourføring, da cybertruslen udvikler sig hurtigt. Uddannelse bør derfor ikke være en engangsøvelse, men et tilbagevendende punkt, fx årligt, gerne kombineret med konkrete cases eller øvelser, såsom simulerede hændelsesforløb.
Det er desuden vigtigt, at uddannelsen gentages, når der sker udskiftning i bestyrelsen. Nye medlemmer starter ikke med samme kompetenceniveau som resten af bestyrelsen, og uden en systematisk introduktion risikerer man, at det fælles vidensniveau udhules over tid, hvilket kan svække bestyrelsens samlede evne til at udøve reelt tilsyn med cybersikkerhed.
Formålet er ikke at gøre bestyrelsesmedlemmer til it-sikkerhedseksperter, men at give dem et solidt nok fundament til at udøve reel governance: at kunne udfordre ledelsens antagelser, vurdere om risikovurderinger er retvisende og forstå konsekvenserne af de beslutninger, de godkender. En bestyrelse, der forstår sproget, stiller bedre spørgsmål, og en bestyrelse, der stiller bedre spørgsmål, skaber en mere robust organisation.
Organisering af bestyrelsens arbejde
Cybersikkerhed bør ikke behandles som et enkeltstående punkt, der dukker op på dagsordenen, når noget går galt. For at bestyrelsen kan leve op til sit ansvar, er det nødvendigt at organisere arbejdet systematisk og forankre det i bestyrelsens faste rutiner.
Cybersikkerhed på årshjulet
Bestyrelsesforeningen anbefaler, at cybersikkerhed er et fast punkt på bestyrelsens årshjul og ikke kun noget, der behandles ad hoc. Det betyder, at der gennem året planlægges konkrete tidspunkter for gennemgang af risikovurderinger, opfølgning på beredskab, evaluering af strategi samt rapportering fra ledelsen. En fast kadence sikrer, at cybersikkerhed får den kontinuerlige opmærksomhed, som truslens alvor kræver, og forhindrer, at emnet nedprioriteres i en presset dagsorden.
Cybersikkerhed behøver ikke nødvendigvis at være et fast punkt på alle møder i bestyrelsen, men omvendt skal det sikres at der i løbet af året er relevante drøftelser om risici og rapportering af fremdrift på igangsatte tiltag samt vurdering af efterlevelsen. Frekvensen for drøftelserne bør afstemmes med hvor ofte bestyrelsen mødes, om der væsentlige igangværende sikkerhedsinitiaver samt udviklingen i trusselsbilledet.
Udvalgsstruktur
I større organisationer kan det være relevant at forankre cybersikkerhed i et eksisterende udvalg, for eksempel et risiko- eller revisionsudvalg, eller i særlige tilfælde etablere et selvstændigt cybersikkerhedsudvalg. Et sådant udvalg kan gå mere i dybden med de tekniske og operationelle detaljer og derefter rapportere sammenfattet til den samlede bestyrelse. Dette aflaster den brede bestyrelse for detaljerne, men sikrer samtidig, at der er tilstrækkelig indsigt et sted i organisationen.
Klar rollefordeling
Bestyrelsen bør sikre klarhed om, hvem der gør hvad. Det gælder både internt i bestyrelsen, for eksempel hvem der har ansvaret for at følge op på cybersikkerhed mellem møderne, og i forhold til ledelsen, hvor det skal være tydeligt, hvem i direktionen der er ansvarlig for at levere rapportering, dokumentation og beslutningsoplæg. Uklare snitflader mellem bestyrelse, direktion og eventuel CISO-funktion er en af de mest almindelige svagheder i praksis.
Adgang til ekstern viden
Da cybersikkerhed er et fagområde i konstant udvikling, kan det være en fordel, at bestyrelsen har adgang til ekstern rådgivning eller uafhængig ekspertise, som kan udfordre ledelsens fremstilling og bidrage med et opdateret perspektiv på trusselsbilledet. Det kan ske gennem eksterne revisorer, konsulenter eller ved at invitere eksperter til at præsentere for bestyrelsen i forbindelse med relevante punkter.
Dokumentation af arbejdet
Endelig bør bestyrelsens arbejde med cybersikkerhed dokumenteres løbende, for eksempel i form af mødereferater, beslutningsnotater og opfølgningslister. Dette er ikke kun et krav under NIS2, men også en forudsætning for, at bestyrelsen selv kan holde styr på, om tidligere beslutninger og anbefalinger reelt følges til dørs.
Opsummering
NIS2 og Bestyrelsesforeningens anbefalinger gør det klart:
Cybersikkerhed er en ledelsesdisciplin, ikke en IT‑disciplin. Bestyrelsen er ikke længere tilskuere. De er aktive medspillere
ISO 38500 giver en enkel ramme til at forstå bestyrelsens ansvar:
- Direct: Sæt retning, strategi og governance
- Evaluate: Vurder risici, modenhed og prioriteringer
- Monitor: Før tilsyn, følg op og dokumentér
Bestyrelser, der arbejder systematisk efter denne model, står stærkere. Det gælder både mod cyberangreb og i forhold til lovgivning, kunder og investorer.
Det kræver mod fra en bestyrelse at stille spørgsmål til tekniske og komplekse emner. Men det kræver endnu mere mod at lade være.
