Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Sommeren er forbi, og ferieroen bliver hurtigt afløst af et travlt efterår i virksomhedernes maskinrum og bestyrelseslokaler.
Midt i de strategiske drøftelser og budgetforberedelser bør én ting imidlertid stå klart: De cyberkriminelle holder aldrig ferie.
Cyberkriminalitet bør være top of mind i enhver virksomhed, lille som stor. Alle er i skudlinjen for de topprofessionelle cyberkriminelle, der hvert år malker verdensøkonomien for enorme summer.
Ifølge estimater fra Cybersecurity Ventures vil cyberkriminalitet koste verden svimlende 71.000 milliarder kroner i 2025 og rangerer som økonomisk magt på en tredjeplads lige efter USA og Kina.
Danske virksomheder går ikke ram forbi. Tværtimod.
Ifølge Styrelsen for Samfundssikkerhed (SAMSIK) er cybertruslen mod Danmark meget høj og har nået et omfang, der gør, at den ikke længere alene kan håndteres af it-afdelingen. Det er en ledelsesopgave, der kræver bestyrelsens involvering.
Det er en klar bestyrelsesopgave og et klart bestyrelsesansvar at behandle, godkende og føre tilsyn med virksomhedens risici.
Det gælder også cyberrisici, som bør være et aktivt og tilbagevendende fokuspunkt i bestyrelsens arbejde med tanke på de fatale, finansielle konsekvenser, et angreb kan have.
Det er således bestyrelsens ansvar, at der udarbejdes en cybersikkerhedsstrategi, der fastslår, hvilken risikoprofil virksomheden skal have, og hvilke indsatsområder, der er relevante for virksomheden.
Det er også bestyrelsens ansvar, at cybersikkerhed bliver en del af virksomhedens kultur og konstant har opmærksomhed.
Ukendt land
For mange bestyrelser vil cybersikkerhed ikke være dér, hvor de har deres naturlige fokus.
Derfor har de ikke nødvendigvis fuld indsigt i virksomhedens beredskab.
World Economic Forum har peget på det paradoks, at 92 procent af bestyrelserne oplever, at deres virksomhed er tilstrækkeligt beskyttet, mens blot 55 procent af it-cheferne er af samme opfattelse.
Uanset hvem der er tættest på sandheden, er den store diskrepans problematisk i forhold til effektiv trusselshåndtering.
Vejen til et retvisende billede er, at bestyrelsen er klædt på til at stille de rigtige spørgsmål og vurdere svarene.
I bestyrelsen kan man med fordel fokusere på nedenstående områder i arbejdet med at styrke de strategiske cyberkompetencer.
Det er vigtigt, at bestyrelsen mindst en gang om året og gerne oftere genbesøger områderne.
1. Risikostyring
Bestyrelsen skal forstå, hvilke aktører der kan true virksomhedens forretningskritiske systemer, hvor sandsynligt det er, og hvilke konsekvenser det kan få.
Denne risikovurdering bør danne grundlag for ledelsens beslutninger og investeringer i cybersikkerhed.
Selvom cyberangreb udelukkende har negative konsekvenser, er det sjældent realistisk at eliminere alle trusler.
Derfor må bestyrelsen definere, hvor meget risiko man er villig til at acceptere. Det kan for eksempel være, at ordresystemet maksimalt må være nede i fem timer, før det påvirker driften uacceptabelt.
2. Processer og beredskab
Bestyrelsen skal føre kontrol med, at cybersikkerhedsstrategien er rullet ud i virksomheden.
Det kan gøres ved at spørge ind til de etablerede sikkerhedsforanstaltninger, om der foreligger politikker, velafprøvede planer, processer til at forebygge cyberangreb som for eksempel løbende test af backup, samt en kommunikations- og beredskabsplan.
3. Tilsyn og rapportering
Bestyrelsen skal have cybersikkerhed på agendaen på hvert møde og modtage relevant rapportering om det aktuelle trusselsbillede, sikkerhedshændelser, revisionsgennemgange mv. forud for mødet.
4. Kompetenceopbygning
Som bestyrelsesmedlem kommer man ikke uden om at skulle følge kurser regelmæssigt for at opnå viden og færdigheder til at forstå og vurdere cyberrisici.
Man skal naturligvis ikke helt ned i maskinrummet, men som bestyrelsesmedlem skal man have en overordnet viden, der gør, at man kan vurdere virksomhedens risiko, sikkerhedsniveau og potentielle angrebs indvirkning på driften.
5. Governance
Er bestyrelsen ordentlig klædt på, er den desuden bedre rustet til at vurdere, om og hvornår det er relevant at alliere sig med eksterne eksperter på specifikke områder, ligesom bestyrelsesmedlemmerne vil have et sprogligt fundament til at kunne indgå i en faglig dialog med disse.
EU svinger taktstokken
Med NIS2, der trådte i kraft 1. juli 2025, bliver mange virksomheder pålagt væsentlige sikkerhedspligter, og deres bestyrelser vil kunne stilles til ansvar for brud på disse.
NIS2-direktivet skal styrke cybersikkerheden i EU og omfatter mellemstore og store virksomheder i samfundskritiske sektorer – fra energi, transport og sundhed til digital infrastruktur og fødevareproduktion.
Det forventes, at mellem 1000 og 2000 danske virksomheder vil blive berørt af de skærpede krav, men selv de virksomheder, der falder uden for NIS2, kan regne med, at de grundlæggende sikkerhedskrav bliver best practices på markedet.
Opgaven må forventes at blive vanskelig for mange virksomheder.
Men med cybersikkerhed som et fast forankret fokuspunkt på bestyrelsens radar og årshjul, en systematisk tilgang til arbejdet som skitseret her og ved at alliere sig med gode rådgivere, vil mange være godt på vej.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.