Kort fortalt
Ledelsesorganet, normalt bestyrelsen eller direktionen, skal godkende de sikkerhedsforanstaltninger, enheden indfører efter § 6, og følge med i, at de bliver gennemført. Hvert medlem af ledelsesorganet skal desuden deltage i relevante kurser om styring af cybersikkerhedsrisici og opfordre til, at enhedens øvrige medarbejdere tilbydes tilsvarende kurser. Paragraffen peger på ledelsen, ikke på it-afdelingen.
Det betyder i praksis
Sæt godkendelsen og opfølgningen ind i ledelsens kalender og referat, og planlæg et kursus for hvert ledelsesmedlem. Godkendelsen er et selvstændigt krav i loven, selv om it-afdelingen har lavet sikkerhedsarbejdet.
Eksempel
En bestyrelse i et mellemstort vandforsyningsselskab får forelagt sikkerhedspolitikken, godkender den på et bestyrelsesmøde og beder direktionen om løbende status. Hvert bestyrelsesmedlem deltager i et kursus om cybersikkerhedsrisici, og bestyrelsen opfordrer til, at medarbejderne får et tilsvarende kursus.
Ofte stillede spørgsmål
Skal ledelsen selv tage et kursus i cybersikkerhed?
Ja. Hvert medlem af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici. Loven siger ikke, hvor mange timer det skal være, eller hvem der må udbyde kurset. Ledelsen skal også opfordre til, at andre medarbejdere tilbydes tilsvarende kurser.
Hvem er ledelsesorganet i vores selskab?
Det afhænger af selskabsformen. Har selskabet både bestyrelse og direktion, er det bestyrelsen. Har det kun en direktion, er det direktionen. Har selskabet både direktion og tilsynsråd, er det direktionen. For virksomheder, der hverken har bestyrelse eller direktion, er det det organ, der har tilsvarende kompetence (§ 3, nr. 20).
Kan ledelsen straffes, hvis den ikke godkender foranstaltningerne?
Straffebestemmelsen i § 32 nævner ikke § 7. Ledelsens rolle kan dog få betydning ved håndhævelsen: efter § 23 kan myndigheden i sidste ende midlertidigt forbyde en person med ledelsesansvar på direktørniveau at udøve ledelsesfunktioner i en væsentlig enhed, hvis tidligere påbud ikke er fulgt.
Relaterede bestemmelser
- § 6 – Krav til cybersikkerhedsforanstaltninger
- § 23 – Suspension og ledelsesforbud
- NIS2-direktivet: Artikel 20 – Styring
Samme emne i andre regler
Ledelsens ansvar
- NIS2-direktivet artikel 20 – Styring – Ledelsen skal godkende cybersikkerhedsforanstaltningerne, føre tilsyn med dem og følge kurser.
- Lov om sikkerhed og beredskab i telesektoren § 6 – Ledelsens godkendelse og kurser – Ledelsen hos teleudbydere skal godkende foranstaltningerne, føre tilsyn med dem og deltage i relevante kurser.
- DORA artikel 5 – Forvaltning og organisation – Ledelsesorganet i en finansiel enhed har det endelige ansvar for styringen af IKT-risici.
Den officielle ordlyd
§ 7. De foranstaltninger, som en væsentlig eller vigtig enhed træffer på baggrund af § 6, stk. 1 og 2, og regler fastsat i medfør af § 6, stk. 3, skal være godkendt af enhedens ledelsesorgan. Ledelsesorganet fører tilsyn med foranstaltningernes gennemførelse.
Stk. 2. Medlemmerne af en væsentlig eller vigtig enheds ledelsesorgan skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes til enhedens øvrige ansatte.
Den officielle tekst følger LOV nr. 434 af 6. maj 2025.
→ Fuld officiel tekst på Retsinformation
Se kapitlet 2 – Foranstaltninger til styring af cybersikkerhedsrisici