Bestyrelsens ansvar for IT-sikkerhed og AI, omsat til konkrete beslutninger.
I får overblik over de beslutninger, I skal forelægge bestyrelsen, og en enkel måde at følge op på dem. Hvert forløb har én fast leder, der rådgiver på direktions- og bestyrelsesniveau og forbereder hver beslutning, så bestyrelsen kan tage stilling.
Kort svar
Accel Comply, grundlagt af Behzad Motaghi, giver bestyrelser og direktioner i Danmark og Norden en kort liste over de vigtigste sikkerhedsbeslutninger og en fast måde at se, om de bliver gennemført. Listen kan omfatte AI-beslutninger. Accel Comply følger op og giver bestyrelsen status, hvis I ønsker det.
De beslutninger, der hører hjemme i bestyrelsen
Bestyrelsen behøver ikke kende de tekniske detaljer, men nogle få beslutninger skal den selv træffe. Hvor meget risiko vil virksomheden leve med, og hvor går grænsen? Hvad skal i gang først, og hvad må det koste? Hvem i direktionen ejer hvert område? Og hvad skal bestyrelsen se for at vide, at det er gjort? I får et konkret forslag til hvert spørgsmål, så bestyrelsen beslutter ud fra en kort liste i stedet for en teknisk rapport, og godkendelsen bliver en beslutning frem for et punkt, der tages til efterretning.
Hvad NIS2 (NIS 2-loven) siger om ledelsens ansvar
Er virksomheden en væsentlig eller vigtig enhed, skal ledelsesorganet godkende de foranstaltninger til styring af cybersikkerhedsrisici, som enheden træffer på baggrund af lovens § 6, og føre tilsyn med, at de bliver gennemført. Det står i NIS 2-lovens § 7, som også siger, at medlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici. I et selskab med både direktion og bestyrelse er ledelsesorganet bestyrelsen, og har selskabet kun en direktion, er det direktionen (§ 3, nr. 20). Accel Comply tager den praktiske del: hvordan bestyrelsen godkender og fører tilsyn på jeres møder.
Sådan fører bestyrelsen tilsyn i praksis
I praksis betyder tilsyn, at bestyrelsen kan se, om det besluttede bliver gjort, uden selv at grave i det. Hver beslutning får en ejer, en status og en note om, hvad der står i vejen. Den faste leder følger op hos IT og leverandører. Hvis I vil, får bestyrelsen en kort status over, hvad der er gennemført, og hvad der er gået i stå.
Bestyrelsen kan sætte AI på samme liste
NIS 2-loven selv nævner ikke AI, men bestyrelsen kan med fordel bruge samme greb, når virksomheden tager AI i brug. De vigtigste beslutninger er, hvad AI skal bruges til i forretningen, hvilke data der aldrig må bruges, og hvem i direktionen der ejer området. Står de på samme liste som sikkerheden, får bestyrelsen på samme møde status på dem, den dokumentation, der foreligger, og de meldte afvigelser fra de grænser, den selv har sat. Hvordan AI-planerne prioriteres, står under AI-rådgivning til ledelsen.
Når spørgsmålet lander på bestyrelsens bord
Bestyrelsen skal godkende en sikkerhedsplan, som ingen af medlemmerne kan vurdere
Accel Comply gennemgår planen med jer og siger, hvad bestyrelsen reelt godkender, hvad det koster, og hvad den bør bede om at se bagefter. Så kan bestyrelsen godkende med åbne øjne eller bede om det, der mangler.
Formanden spørger, hvad bestyrelsen har godkendt, og svaret ligger spredt i referater
I får beslutningerne samlet på én kort liste med ejer og status. Når listen er på plads, kan bestyrelsen se, hvad der er gennemført, og hvad der står stille, og formanden har svaret foran sig.
Hvad Accel Comply tager sig af, og hvad ikke
Det tager Accel Comply på sig
- En kort liste over de beslutninger om sikkerhed og AI, der hører hjemme i bestyrelsen, med en ejer i direktionen til hver
- Beslutningsoplæg, bestyrelsen kan tage stilling til, herunder budget og rækkefølge
- Opfølgning hos IT og leverandører og, hvis I vil, en kort status til bestyrelsen på, hvad der er gennemført, og hvad der står stille
- Hvis I vil, en gennemgang med bestyrelsen af, hvad godkendelse og tilsyn betyder hos jer
Det tager Accel Comply ikke på sig
- Revision og certificering
- Sikkerhedsdrift, overvågning eller hændelsesberedskab døgnet rundt
- En plads i bestyrelsen
Bestyrelse og direktion træffer beslutningerne og har ansvaret.
Spørgsmål om bestyrelsens ansvar
Hvad skal bestyrelsen beslutte og følge op på under NIS2?
Er virksomheden omfattet, skal ledelsesorganet godkende sikkerhedsforanstaltningerne og føre tilsyn med, at de bliver gennemført (NIS 2-loven § 7). I praksis kan arbejdet samles om risiko, prioriteter, ejerskab og opfølgning, og Accel Comply forbereder et konkret forslag til hver del, så bestyrelsen har noget at beslutte ud fra.
Gælder NIS2 for vores virksomhed?
Det afhænger af jeres sektor, jeres størrelse og eventuelle undtagelser i NIS 2-loven. Uanset svaret har bestyrelsen gavn af at arbejde på samme måde: nogle få beslutninger, en ejer til hver og en status med faste mellemrum. Det er den del, Accel Comply hjælper med. Hvor I skal begynde, står på siden om NIS2.
Er det bestyrelsen eller direktionen, der har ansvaret efter NIS2?
Det afhænger af, hvordan selskabet er ledet. Loven kalder det ledelsesorganet. I et selskab med direktion og bestyrelse er det bestyrelsen. Har selskabet kun en direktion, eller en direktion og et tilsynsråd, er det direktionen (§ 3, nr. 20). Listen gør det tydeligt, hvem der godkender, og hvem der gennemfører.
Hvad skal bestyrelsen se på hvert møde?
En kort status på de beslutninger, den har truffet: hvad der er gennemført, hvad der står stille og hvorfor, og hvilke nye risici eller beslutninger der er kommet til. Hver linje har en ejer i direktionen. Det kan stå på én side, så bestyrelsen bruger mødet på det, der kræver en beslutning. Accel Comply kan forberede siden for jer.
Skal bestyrelsen på kursus i cybersikkerhed?
Ja, hvis virksomheden er omfattet: NIS 2-loven § 7, stk. 2, siger, at medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at de øvrige ansatte får tilbudt tilsvarende kurser. Den faste leder kan gå jeres egne beslutninger og risici igennem med bestyrelsen som forberedelse.
Læs også
Få de beslutninger på bordet, som bestyrelsen selv skal træffe
Fortæl kort, hvordan bestyrelse og direktion arbejder med sikkerhed og AI i dag. Svaret kommer fra den senior, der ville lede arbejdet, og siger, om det er noget, Accel Comply kan hjælpe med.