Afrapportering til direktion og bestyrelse efter en øvelse

Når en red team-øvelse er slut, har sikkerhedsfunktionen en rapport fuld af forløb, tidspunkter og tekniske detaljer. Direktionen og bestyrelsen har brug for noget andet: et svar på det spørgsmål, de godkendte øvelsen for at få besvaret, en forståelse af, hvad resultatet betyder for organisationens risiko, og de beslutninger, der skal træffes nu. Afrapporteringen hviler på at skille de to ting ad, så ledelsen får det, den skal bruge, og detaljerne bliver i den kreds, der skal arbejde med dem.

Det korte svar på, hvad ledelsen skal høre, er: spørgsmålet og svaret, forløbet i store træk, hvad forsvaret gjorde godt og dårligt, de vigtigste årsager og de beslutninger, ledelsen skal tage. Resten hører til sikkerhedsfunktionen.

Hvorfor ledelsen skal have resultatet

Ledelsen har ansvaret for organisationens risikostyring, også på det digitale område. For finansielle virksomheder står det udtrykkeligt i DORA artikel 5, stk. 2, at ledelsesorganet har det endelige ansvar for styringen af IKT-risiko. For væsentlige og vigtige enheder under NIS2 skal medlemsstaterne efter direktivets artikel 20, stk. 1, sikre, at ledelsesorganerne godkender foranstaltningerne til styring af cybersikkerhedsrisici og fører tilsyn med gennemførelsen. Teksten er ikke juridisk rådgivning.

I de regulerede test er ledelsens rolle også skrevet ind. De tekniske reguleringsstandarder for TLPT kræver, at ledelsesorganet godkender testens afgrænsning, og at kontrolteamet holder ledelsesorganet orienteret om fremskridt og risici. En frivillig øvelse har ikke de krav, men princippet er det samme: den, der godkendte øvelsen, skal også høre, hvad den viste. → Ledelsens godkendelse

Det, ledelsen skal høre

En afrapportering til direktion eller bestyrelse kan bygges op omkring fem punkter:

Spørgsmålet og svaret · hvad ville I vide, og hvad er det korte svar?
Forløbet i store træk · hvor startede scenariet, hvor nåede holdet hen, og hvor blev det set?
Styrker · hvor virkede forsvaret, og hvem gjorde en forskel som funktion?
Årsager · de få mønstre, der forklarer, hvorfor holdet kom så langt, som det gjorde.
Beslutninger · hvad ledelsen skal tage stilling til, fx prioriteringer, ressourcer eller ejerskab på tværs af afdelinger.

Et forenklet kort over angrebsvejen kan gøre forløbet forståeligt på kort tid. Få nøgletal kan supplere, men de skal have en forklaring med. → Nøgletal til ledelsen

Det, der bliver i sikkerhedsfunktionen

Nationalbankens implementeringsdokument for TIBER-DK beskriver, at den sammenfattende rapport ikke bør indeholde detaljerede tekniske oplysninger om fund og svagheder, fordi de er meget følsomme og kan være en stor risiko i de forkerte hænder. Princippet gælder også ledelsesmateriale fra en frivillig øvelse.

Hold derfor disse ting ude af materialet til direktion og bestyrelse:

Tekniske detaljer · systemnavne, konfigurationer og fremgangsmåder.
Den fulde tidslinje · den hører til forsvaret og white team.
Navne på medarbejdere · fund om mennesker skrives som fund om processer. → Fund om mennesker i rapporten
Åbne svagheder i detaljer · så længe de ikke er rettet, skal færrest muligt kende dem.

Tænk også på, hvor materialet havner. Bestyrelsesportaler, referater og udsendt mødemateriale kan have en bredere kreds af læsere og en længere levetid end selve rapporten. → Hvem må kende resultatet?

Hvem præsenterer, og hvornår

CISO’en eller lederen af white team er det naturlige valg som præsentator. Det kan styrke budskabet, at lederen af blue team eller SOC’en deltager, så ledelsen hører begge sider. Den eksterne leverandør kan deltage for at besvare spørgsmål om metode og begrænsninger, men bør ikke stå alene, fordi resultatet skal forankres i organisationen.

Afrapporteringen kan med fordel ske i to trin. Kort efter øvelsen får direktionen en mundtlig orientering om det overordnede resultat og om eventuelle forhold, der kræver hurtig handling. Når rapporterne er færdige, og rodårsager og handlingsplan er lagt, får direktion og bestyrelse den egentlige afrapportering. Så taler I om beslutninger og ikke kun om indtryk. Lad lederen af white team vurdere, om noget fra øvelsen kræver, at bestyrelsens formand orienteres før det ordinære møde. → Rodårsager efter red teaming

Når ledelsen reagerer

Ledelsens første reaktion på et red team-resultat kan gå i to retninger. Den ene er alarm: holdet kom helt ind, er vi så usikre? Den anden er lettelse: holdet blev opdaget, så er alt i orden. Ingen af dem er en dækkende læsning.

Forbered svar på begge. Gør det klart, at en øvelse er bygget til at finde veje, og at det er forventeligt, at holdet kommer et stykke. Det interessante er, hvor og hvornår forsvaret greb ind. Forklar også, at en opdagelse i ét scenarie ikke betyder, at alle scenarier ville blive opdaget. → Når resultatet bliver læst forkert

Hvordan ledelsen generelt bør læse og bruge resultater fra sikkerhedstest, er beskrevet for direktører og bestyrelser på sikkerhedstesten.dk.

Opfølgning i ledelsen

Én afrapportering er ikke nok. Hvis ledelsen hører om øvelsen én gang og derefter ikke igen, mister beslutningerne deres vægt, og ejerne af handlingsplanen mærker, at emnet er glidet ned ad listen. Aftal derfor på mødet, hvornår ledelsen får status næste gang, og i hvilken form.

Statusrapporten kan være kort: hvilke beslutninger er gennemført, hvilke rodårsager er under behandling, og hvor er der forsinkelser eller behov for en ny prioritering. Den skal bruge de samme overskrifter som den første afrapportering, så ledelsen kan se udviklingen uden at skulle sætte sig ind i et nyt format. Når næste øvelse planlægges, er ledelsens spørgsmål fra opfølgningen et godt sted at begynde, fordi de viser, hvad ledelsen stadig er i tvivl om. → Opfølgning efter øvelsen

Det skal I lade være med

At præsentere den tekniske rapport for bestyrelsen · ledelsen skal have svar og beslutninger, ikke detaljer.
At give et enkelt tal som dom · en øvelse har ingen samlet karakter.
At skjule styrkerne · det, der virkede, er en del af svaret.
At lægge følsomme detaljer i bestyrelsesportalen · materialet kan leve længe og læses bredt.
At lade leverandøren præsentere alene · resultatet skal forankres internt.
At afrapportere uden beslutningspunkter · så bliver mødet en orientering uden følger.

Hvad kan og ikke kan konkluderes

En god afrapportering giver ledelsen grundlag for at forstå, hvad øvelsen viste om organisationens evne til at opdage og stoppe en bestemt type angreb, og for at træffe beslutninger om prioritering og ressourcer. Den kan ikke give ledelsen et samlet billede af sikkerhedsniveauet, og den kan ikke love, at et lignende angreb vil blive stoppet næste gang. Det skal stå tydeligt i materialet, så resultatet ikke bliver brugt som mere, end det er.

Tjekliste før mødet

☐ Er spørgsmålet fra godkendelsen gentaget og besvaret?
☐ Er materialet frit for tekniske detaljer, navne og åbne svagheder?
☐ Er styrker og svagheder begge med?
☐ Er beslutningspunkterne formuleret, så de kan besluttes på mødet?
☐ Er det afklaret, hvor materialet gemmes, og hvem der får det?

Kilder

Forordning (EU) 2022/2554 (DORA): artikel 5, stk. 2, litra a, om ledelsesorganets endelige ansvar for styringen af IKT-risiko.
Kommissionens delegerede forordning (EU) 2025/1190: artikel 9, stk. 4, litra b, og stk. 6, om orientering af ledelsesorganet og ledelsesorganets godkendelse af afgrænsningen.
Direktiv (EU) 2022/2555 (NIS2): artikel 20, stk. 1, om ledelsesorganernes godkendelse af og tilsyn med foranstaltninger til styring af cybersikkerhedsrisici.
Danmarks Nationalbank, TIBER-DK Implementation Document: den sammenfattende rapport bør ikke indeholde detaljerede tekniske oplysninger om fund og svagheder.

Senest gennemgået: oktober 2026.