Direktion og bestyrelse som mål: særlige tilladelser og hensyn

Direktionen, bestyrelsen og deres nærmeste medarbejdere kan være de mest oplagte mål for en modstander, fordi de har adgang til beslutninger, betalinger og fortrolige oplysninger. Det gør dem relevante i en realistisk øvelse, men det skaber også et særligt problem: de personer, der normalt godkender øvelsen, bliver selv en del af den. Løsningen hviler på tre ting: godkendelsen placeres et sted, hvor den ikke afslører øvelsen for målene, hver person eller funktion, der indgår, er udtrykkeligt nævnt i aftalen, og hensynet til de berørte er tænkt ind fra start.

Hvorfor ledelsen er et relevant mål

Et trusselsscenarie kan handle om at nå ledelsens beslutningskraft. Det kan være en falsk anmodning om en betaling, der ser ud til at komme fra direktøren, adgang til bestyrelsens mødemateriale før et opkøb eller en henvendelse til direktionens assistent, der har adgang til kalendere og postkasser. Hvis øvelsen skal afprøve, om organisationen kan modstå den slags, er ledelsen og dens omgivelser en naturlig del af scenariet. → Betalingssvindel som scenarie

Ledelsen har også et ansvar, der gør det relevant at se på dens egen modstandskraft. NIS2-direktivets artikel 20 kræver, at ledelsesorganerne i væsentlige og vigtige enheder godkender foranstaltningerne til styring af cybersikkerhedsrisici, fører tilsyn med gennemførelsen og følger kurser, så de kan identificere risici. Direktivet kræver ikke, at ledelsen afprøves i en øvelse, men det understreger, at ledelsen ikke står uden for sikkerhedsarbejdet. Teksten er ikke juridisk rådgivning.

Hvem godkender, når godkenderen er mål?

Normalt godkender direktionen en red team-øvelse og dens rammer. Hvis direktøren selv er mål, kan godkendelsen ikke komme fra direktøren uden at afsløre den del af scenariet. Der er flere måder at løse det på, og valget afhænger af organisationens styring:

Bestyrelsesformanden eller et udvalg · godkender den del af scenariet, der omfatter direktionen, mens direktionen godkender øvelsen generelt.
Generel accept på forhånd · direktionen accepterer, at den kan indgå som mål i en øvelse inden for en periode, uden at kende tidspunkt og form.
Et medlem af direktionen i white team · én direktør kender til øvelsen og godkender de dele, der rammer kolleger, men er selv uden for målgruppen.

Når bestyrelsen er mål, bør godkendelsen ligge hos formanden eller hos det udvalg, der har ansvaret for risiko og revision. Uanset modellen skal godkendelsen være skriftlig og nævne de personer eller funktioner, der indgår. Den skal også sige, hvem der kan stoppe den del af øvelsen, hvis den udvikler sig anderledes end planlagt, og den person må ikke selv være blandt målene. → Ledelsens godkendelse

Assistenter og sekretariater

Det er ikke nødvendigvis direktøren selv, der modtager den første henvendelse. Det er assistenten, sekretariatet eller den medarbejder, der håndterer kalendere og postkasser på direktionens vegne. De kan være de mest udsatte i et realistisk scenarie, og de har ikke selv været med til at godkende noget.

Behandl dem med samme omhu som alle andre medarbejdere i øvelsen. De har brug for at blive debriefet, og fund om dem skal skrives som fund om arbejdsgange, fx om hvordan anmodninger på direktionens vegne bekræftes. Overvej også, om deres særlige position gør det nødvendigt at aftale grænser for, hvad holdet må forsøge at få dem til. → Debriefing af medarbejdere

Private forhold og offentlighed

Ledelsesmedlemmer kan være mere synlige end andre medarbejdere. De optræder i medier, holder taler og har profiler, der kan bruges til at bygge en troværdig henvendelse. Det gør det ekstra vigtigt at aftale, hvor grænsen går. Holdet bør som udgangspunkt holde sig til oplysninger, der knytter sig til rollen i organisationen, og ikke til familie, privatadresse eller private konti. → Private profiler og sociale medier

Overvej også, hvad der sker, hvis et ledelsesmedlem opdager en henvendelse og reagerer offentligt eller kontakter politi, bank eller presse. White team skal have en hurtig vej til at bekræfte, at der er tale om en øvelse, og en plan for, hvordan den bekræftelse gives uden at afsløre mere end nødvendigt. → Kommunikationsplan

Bestyrelsens materiale og fortrolighed

Hvis scenariet har bestyrelsens materiale som mål, kan øvelsen komme i berøring med oplysninger, der er meget følsomme: planer om opkøb, kapitalforhold eller personsager. Her er det særligt vigtigt at bruge aftalte flag frem for at hente rigtigt indhold. Det kan fx være et aftalt dokument i bestyrelsens mødeportal, som holdet skal kunne nå, uden at øvrige dokumenter åbnes. Aftal det med den, der administrerer portalen, og med formanden. → Fortrolighed om øvelsen

Er organisationen børsnoteret, kan det være relevant at afklare med en juridisk rådgiver, om oplysninger, holdet kan komme i nærheden af, kræver særlig håndtering, før scenariet lægges fast.

Efter øvelsen: ledelsen som lærende part

Når ledelsen har været mål, bør resultatet gå til ledelsen på samme måde som til andre: som fund om processer og kontroller, ikke om personer. Det kan være en fordel, at den, der præsenterer, er en fra white team, der ikke selv var mål, og at præsentationen tager udgangspunkt i, hvad der kan styrkes omkring ledelsen, fx bekræftelse af betalinger eller adgangen til postkasser.

Et ledelsesmedlem, der blev narret, bør have samme mulighed for en fortrolig samtale som andre medarbejdere. Det er også en mulighed for at vise resten af organisationen, at ingen står uden for øvelsen, og at fejl bruges til læring.

Det skal I lade være med

At lade direktøren godkende et scenarie, der rammer direktøren · placer godkendelsen et andet sted.
At glemme assistenterne · de kan være de mest udsatte og har ikke selv sagt ja.
At bruge private oplysninger om ledelsen · hold øvelsen til rollen i organisationen.
At hente bestyrelsens rigtige materiale · brug aftalte flag.
At undlade en plan for offentlige reaktioner · et ledelsesmedlem kan reagere hurtigt og synligt.
At skåne ledelsen i rapporten · fund omkring ledelsen skrives som alle andre fund om processer.

Hvad kan og ikke kan konkluderes

En øvelse med ledelsen som mål kan vise, om de arbejdsgange, der beskytter ledelsens beslutninger og oplysninger, holder over for en målrettet henvendelse. Den kan ikke vurdere den enkelte direktørs eller bestyrelsesmedlems sikkerhedsbevidsthed, og den kan ikke vise, hvordan ledelsen ville reagere under en virkelig krise. Det sidste kræver en anden øvelsesform. → Krisestab og ledelse i øvelsen

Tjekliste før start

☐ Er det besluttet, hvem der godkender den del af scenariet, der rammer ledelsen?
☐ Er de personer og funktioner, der indgår, nævnt i den skriftlige godkendelse?
☐ Er assistenter og sekretariater omfattet af debriefing og medarbejderhensyn?
☐ Er grænsen for oplysninger om ledelsens private forhold aftalt?
☐ Er der flag i stedet for rigtigt bestyrelsesmateriale?
☐ Har white team en plan for hurtig bekræftelse ved offentlige reaktioner?

Kilder

Direktiv (EU) 2022/2555 (NIS2): artikel 20, stk. 1 og 2, om ledelsesorganernes godkendelse af og tilsyn med foranstaltninger og pligt til at følge kurser.

Senest gennemgået: oktober 2026.