Kort fortalt
Ledelsesorganet hos væsentlige og vigtige teleudbydere skal godkende de sikkerhedsforanstaltninger, som § 5 og ministerens regler kræver, og føre tilsyn med, at de gennemføres. Medlemmerne skal selv tage relevante kurser i håndtering af informationssikkerhedsrisici og opfordre til, at de øvrige ansatte tilbydes tilsvarende kurser. Ansvaret kan dermed ikke lægges alene på it-afdelingen.
Det betyder i praksis
Sørg for, at bestyrelse eller direktion formelt godkender sikkerhedsforanstaltningerne, og planlæg kurser for ledelsen. Gem dokumentation for godkendelse og deltagelse.
Ofte stillede spørgsmål
Skal medlemmerne af en teleudbyders bestyrelse selv på kursus?
Ja, stk. 2 siger, at medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af informationssikkerhedsrisici. De skal også tilskynde til, at udbyderens øvrige ansatte tilbydes tilsvarende kurser.
Hvem er ledelsesorganet?
Begrebet er ikke defineret i § 2. Typisk vil det være den eller de organer, der har den øverste ledelse af virksomheden, som bestyrelse og direktion. Er I i tvivl, bør I se på jeres egen selskabsstruktur og de regler, der gælder for den.
Kan it-chefen godkende sikkerhedsforanstaltningerne i stedet for ledelsen?
Nej, ikke hvis godkendelsen skal leve op til paragraffen. Foranstaltningerne skal godkendes af ledelsesorganet, og ledelsesorganet fører også tilsynet med, at de gennemføres. It-chefen kan forberede materialet.
Relaterede bestemmelser
- § 5 – Krav til sikkerhedsforanstaltninger
- § 31 – Straf
- NIS 2-loven: § 7 – Ledelsens godkendelse og kurser
- NIS2-direktivet: Artikel 20 – Styring
Samme emne i andre regler
Ledelsens ansvar
- NIS2-direktivet artikel 20 – Styring – Ledelsen skal godkende cybersikkerhedsforanstaltningerne, føre tilsyn med dem og følge kurser.
- NIS 2-loven § 7 – Ledelsens godkendelse og kurser – Den danske regel om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
- DORA artikel 5 – Forvaltning og organisation – Ledelsesorganet i en finansiel enhed har det endelige ansvar for styringen af IKT-risici.
Den officielle ordlyd
§ 6. De foranstaltninger, som væsentlige og vigtige teleudbydere træffer på baggrund § 5, stk. 1 og 2, og regler fastsat i medfør af § 5, stk. 3, skal være godkendt af teleudbyderens ledelsesorgan. Ledelsesorganet fører tilsyn med foranstaltningernes gennemførelse.
Stk. 2. Medlemmerne af ledelsesorganet i væsentlige og vigtige teleudbydere skal deltage i relevante kurser om styring af informationssikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes til udbyderens øvrige ansatte.
Den officielle tekst følger LOV nr. 435 af 6. maj 2025.
→ Fuld officiel tekst på Retsinformation
Se kapitlet 2 – Foranstaltninger til styring af sikkerhedsrisici m.v.