Svaret på bestyrelsens spørgsmål kan stå på fem linjer: hvilket system det gælder, hvor længe I kan undvære det, hvad I gør den første uge, hvornår planen sidst blev testet, og hvad der mangler. Kan I svare sådan, har I en plan. Kan I ikke, er det ærlige svar, at I ikke ved det endnu, og at I vender tilbage med en dato.
Spørgsmålet er sundt. En bestyrelse behøver ingen teknisk redegørelse. Den vil vide, om ledelsen kender en risiko, som kan stoppe forretningen, og om nogen har taget stilling til den. Bestyrelsen spørger sjældent om teknik, og derfor er et kort og konkret svar det bedste svar. Rapportering om IT generelt er et større emne, som er beskrevet i bestyrelsens rolle. Her ser vi på det ene spørgsmål.
Ansvaret, kort
For virksomheder under NIS2-loven er ledelsens rolle skrevet ind i loven. Efter § 7, stk. 1, skal foranstaltningerne godkendes af ledelsesorganet, der også skal følge gennemførelsen, og det dækker bl.a. driftskontinuitet og forsyningskædesikkerhed i § 6, stk. 1, nr. 3 og 4. Ordet exit står ikke i loven. Det, der er tilfældet, er, at et NIS2-bestyrelsesansvar kan føre til spørgsmålet om plan B, og et godt svar er relevant dokumentation. Læs mere om NIS2 og ledelsens ansvar.
For finansielle enheder siger DORA art. 28, stk. 1, litra a, at det fulde ansvar bliver hos enheden, også når tjenesten er købt. Andre steder er det kun en model, og tanken er nyttig for alle: en leverandør kan overtage opgaven, men virksomheden har stadig forretningen.
For alle andre er bestyrelsens spørgsmål et almindeligt ledelsesspørgsmål om risiko. Hvad det betyder juridisk for den enkelte, er ikke emnet her, og konkrete spørgsmål hører til en advokat. Det er vores forenkling.
Svaret på fem linjer
Skriv svaret, så det kan læses højt på under et minut. Fem linjer pr. kritisk system er nok, og for de fleste vil det sige ét til tre systemer.
- System og betydning. Ordresystemet. Uden det kan vi ikke levere.
- Tolerance. Vi kan undvære det i tre dage, før kunder mærker det.
- Vores handling. Vi har en kopi af data hos en anden leverandør, og en reserveprocedure, vi kan bruge fra dag ét. Det tager os vurderet fire til seks uger at komme over på en anden løsning.
- Seneste test. Testet i september. Data kunne læses, to integrationer fejlede.
- Det, der mangler. Integrationerne rettes inden årsskiftet. Ansvarlig er IT-chefen.
Tallene er tænkte. Linje fem er vigtigst. Et svar uden mangler lyder sjældent troværdigt, og en bestyrelse har mere tillid til en direktion, der kender sine huller.
Det, der skal ligge bag
Svaret er toppen af en kort bunke papirer, som bør kunne findes, hvis nogen spørger videre:
- En liste over de systemer, I ikke kan undvære, rangeret af forretningen.
- Tolerancen pr. system og hvor den kommer fra.
- En plan pr. kritisk system med ejer og dato.
- Seneste testrapport med afvigelser.
- Ledelsens beslutning om, hvor meget afhængighed I accepterer, og hvilke systemer der bevidst står uden plan.
Bestyrelsen får svaret og ved, at bunken findes.
Hvis I ikke kan svare i dag
Det er helt almindeligt. Spørgsmålet stilles ofte, fordi der ikke findes noget svar. Sådan bruger I det: sig på mødet, at I vender tilbage med svar for de vigtigste systemer på et bestemt møde, og aftal, hvad I vil vise.
Til næste møde kan I lave tre ting:
- Få forretningen til at pege på de ét til tre vigtigste systemer.
- Vurdér tolerance og exit-tid, gerne groft og med lav og høj ende.
- Lav en enkelt eksporttest, så I har noget konkret at vise.
Så kan I på næste møde give et ærligt svar med huller, og bestyrelsen kan beslutte, om den vil have mere. Beslutningen kan også være at lade være, for visse systemers vedkommende. Bevidst accept viser, hvordan det skrives ned, så der foreligger en beslutning, I kan stå på mål for.
Faste punkter gør arbejdet lettere: en gang om året kan svaret opdateres som et punkt på et bestyrelsesmøde. Status på én side er beskrevet i exit-status til ledelsen.
Hvad det kræver, og hvad det koster at lade være
For en virksomhed, der allerede har en plan, er svaret en times arbejde. Uden plan er det de tre trin ovenfor, som typisk er nogle dages arbejde fordelt over et par måneder, for en direktør, en forretningsejer og den, der står for IT. Læg overslaget frem sammen med svaret, dateret og som et spænd i arbejdsdage.
Bestyrelsen vil gerne have tre ting holdt op imod hinanden: hvad en plan kræver, hvad et stop vil koste, og hvad planen giver, selv om intet sker. Det andet punkt regner I selv på med forretningens tal: tab pr. dag gange forventet varighed. Det tredje er dokumentation til kunder og tilsyn, kortere svartid, og at ledelsen kan stå på mål for sin beslutning. Omvendt koster et manglende svar, at samme spørgsmål kommer igen, og at direktionen står uden grundlag, den dag det bliver alvor.
Vil bestyrelsen have en ekstern til at lave planen, så sæt ønsket ind i et kort beslutningsnotat med indsats og anbefaling.
Det skal I lade være med
- At svare med teknik · bestyrelsen skal kende konsekvens, tid og handling.
- At sige “vi har backup” · det besvarer et andet spørgsmål.
- At skjule mangler · de kommer frem, og en kendt mangel kan håndteres.
Det skal planen kunne vise
- ☐ Et svar på fem linjer for hvert kritisk system.
- ☐ Dato for seneste test og den rapport, svaret bygger på.
- ☐ Hvad der mangler, hvem der ejer det, og hvornår det er løst.
- ☐ Hvornår svaret senest er forelagt bestyrelsen, og hvad der blev besluttet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, og § 7, stk. 1.
- Forordning (EU) 2022/2554 (DORA): art. 28, stk. 1, litra a. Model uden for finans.
Senest gennemgået: november 2026.
Næste skridt
Skriv de fem linjer for jeres vigtigste system i dag, også selv om nogle af dem bliver “ved vi ikke”. Tag derefter hullerne med i et beslutningsnotat til næste møde.
Læs også: Hvem ejer exit-planen? · Hvor meget afhængighed vil ledelsen acceptere?
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
