En bestyrelse kan uddelegere arbejdet med cybersikkerhed til et udvalg. Ansvaret bliver hos hele bestyrelsen. Fem spørgsmål viser, om det bliver båret.
Styrelsen for Samfundssikkerhed (SAMSIK) skriver det direkte i sin vejledning om ledelsens rolle fra maj 2025. Opgaver kan uddelegeres, men “det vil fortsat være det samlede ledelsesorgan, der kollektivt har ansvaret”.
For enheder, der er omfattet af NIS2-loven, står kravet i lovens § 7. Ledelsesorganet skal godkende sikkerhedsforanstaltningerne og føre tilsyn med, at de bliver gennemført. Medlemmerne skal også deltage i relevante kurser om styring af cybersikkerhedsrisici. Det gælder ledelsen i de omfattede enheder, ikke automatisk enhver dansk bestyrelse.
I energisektoren går reglerne et skridt videre. Virksomhedernes ledelsesorgan skal i relevant omfang deltage i beredskabsøvelser, står der i Energistyrelsens bekendtgørelse.
De fem spørgsmål herunder er ikke lovkrav. De er anbefalinger, og de bygger på cases fra de seneste to måneder. Enhver bestyrelse kan stille dem.
Hvornår blev beredskabsplanen sidst øvet, og hvad blev rettet bagefter? Rigsrevisionen fandt, at myndigheder på syv af ni undersogte ministerområder ikke fulgte anbefalingerne om at øve og evaluere beredskabet.
Hvordan kører forretningen, mens systemerne er nede? Hos en britisk detailkæde var rådet til andre: “make sure that you can run your business on pen and paper”.
Hvem må lukke systemerne ned, også om natten? Da en kritisk sikkerhedsadvarsel kom i en tysk delstat, blev kommunernes centrale systemer lukket, og de første byer meldte normal drift næste morgen.
Hvad er vores vigtigste leverandører selv afhængige af? Under strømsvigtet i Spanien gjorde teleproblemer det iføelge det spanske tilsyn sværere at få strøm tilbage.
Var ledelsen selv med ved den seneste øvelse? Hvis svaret er nej, ved bestyrelsen ikke, hvordan planen ser ud i praksis.
Spørgsmålene kræver ikke teknisk viden. De kræver, at bestyrelsen beder om svar, der kan dokumenteres, og følger op, når svarene mangler.
En cyber security advisor kan hjælpe bestyrelsen med at stille de rigtige spørgsmål og vurdere svarene.
Så mit råd til dig, der sidder i en bestyrelse eller en direktion:
1. Sæt de fem spørgsmål på dagsordenen ved næste bestyrelsesmøde, og bed direktionen om skriftlige svar.
2. Noter i referatet, hvilke svar der mangler, og hvem der leverer dem til mødet efter.
3. Deltag selv i næste beredskabsøvelse, også selv om ingen regel kræver det af jer.
Har du brug for en uafhængig gennemgang af jeres beredskab? Ring til Nielco IT på 70 13 63 23.
