Bestyrelser og direktioner hører i disse år om ledelsens ansvar for cybersikkerhed, og det kan få red teaming til at lyde som noget, loven kræver. Det gør den som udgangspunkt ikke. Svaret hviler på ordlyden i de regler, der lægger ansvaret hos ledelsen: de kræver, at ledelsen godkender og fører tilsyn med sikkerhedsforanstaltningerne, og at foranstaltningernes effektivitet vurderes, men de foreskriver ikke en bestemt øvelsesform. Den eneste undtagelse er den trusselsbaserede penetrationstest, TLPT, for de finansielle enheder, som myndigheden udpeger efter DORA.
En frivillig red team-øvelse kan derimod være en af måderne, hvorpå ledelsen skaffer sig viden og viser, at den har handlet på den. Det kræver, at øvelsen bliver brugt rigtigt.
Det, reglerne lægger hos ledelsen
Tre regelsæt kan være relevante for en større dansk organisation:
- Selskabsloven § 115 · bestyrelsen i et kapitalselskab skal blandt andet påse, at der er etableret de fornødne procedurer for risikostyring og interne kontroller.
- NIS2 og NIS 2-loven · direktivets artikel 20 og lovens § 7 kræver, at ledelsesorganet i væsentlige og vigtige enheder godkender cybersikkerhedsforanstaltningerne og fører tilsyn med gennemførelsen. Ledelsens medlemmer skal også deltage i relevante kurser.
- DORA artikel 5 · i finanssektoren har ledelsesorganet det endelige ansvar for styringen af IKT-risiko og skal blandt andet godkende strategien for digital operationel modstandsdygtighed og afsætte budget.
Ansvaret rækker langt ud over test og øvelser. Det omfatter styring, dokumentation og opfølgning på alle foranstaltninger, og red teaming er i bedste fald en lille brik i det billede. → NIS2 og red teaming
Det, reglerne ikke kræver
Ingen af de tre regelsæt nævner red teaming. NIS 2-loven § 6, stk. 1, nr. 6, kræver politikker og procedurer til vurdering af effektiviteten af foranstaltningerne, men loven siger ikke, hvordan effektiviteten skal vurderes. Det kan ske på flere måder, fx ved revision, penetrationstest, gennemgang af hændelser eller øvelser.
DORA kræver, at finansielle enheder, der ikke er mikrovirksomheder, har et program for test af den digitale operationelle modstandsdygtighed. Artikel 25 nævner en række testtyper, herunder scenariebaserede test og penetrationstest. Programmet skal følge en risikobaseret tilgang. En frivillig red team-øvelse kan være et led i det, men forordningen kræver den ikke af alle. → DORA og testprogrammet
Det betyder, at en ledelse, der aldrig har bestilt en red team-øvelse, ikke af den grund har forsømt et lovkrav. Spørgsmålet er i stedet, om ledelsen har et rimeligt grundlag for at mene, at foranstaltningerne virker.
Undtagelsen: TLPT for udpegede finansielle enheder
DORA artikel 26 kræver avancerede test i form af TLPT mindst hvert tredje år for de finansielle enheder, som myndigheden har identificeret. I Danmark er det Danmarks Nationalbank, der træffer den afgørelse. TLPT gennemføres efter fastlagte regler, og ledelsesorganet har en konkret rolle: efter de tekniske reguleringsstandarder skal det blandt andet godkende dokumentet, der afgrænser testens omfang. → Hvem skal gennemføre TLPT?
For alle andre er red teaming et valg. Også for finansielle virksomheder, der ikke er udpeget, er en red team-øvelse frivillig, og den kan ikke erstatte en TLPT, hvis kravet senere kommer.
Hvor en frivillig øvelse kan indgå
En red team-øvelse giver ledelsen et svar på et konkret spørgsmål om forsvaret: Bliver et realistisk angreb opdaget, og bliver der handlet? Det svar kan indgå i ledelsens tilsyn på tre måder:
- Som grundlag for en vurdering · ledelsen får et billede af, om overvågning og beredskab virker i praksis, og ikke kun på papiret.
- Som anledning til beslutninger · resultatet peger på svagheder, som ledelsen kan prioritere og afsætte ressourcer til.
- Som spor af handling · referater, beslutninger og opfølgning viser, at ledelsen har stillet spørgsmål, fået svar og fulgt op.
Det er det tredje punkt, der gør øvelsen relevant for ansvaret. Selve rapporten viser kun, hvad holdet fandt. Det er ledelsens reaktion på rapporten, der viser, at ansvaret er taget alvorligt.
Den dokumentation, der viser handling
Hvis øvelsen skal kunne indgå i ledelsens dokumentation, er det nogle få dokumenter, der tæller:
- Beslutningen · referat af, at ledelsen har besluttet øvelsen og formålet med den.
- Resuméet · en kort beskrivelse af resultatet, der er fremlagt for ledelsen.
- Handlingsplanen · de tiltag, ledelsen har besluttet, med ejere og frister.
- Opfølgningen · referater, der viser, at ledelsen har fået status på planen.
Dokumenterne skal ikke indeholde de tekniske detaljer om angrebsvejen. Det er nok, at de viser kæden fra spørgsmål til svar til beslutning. → Handlingsplan efter øvelsen
Et tænkt eksempel
En vandforsyning er omfattet af NIS 2-loven. Bestyrelsen har godkendt foranstaltningerne og spørger direktionen, hvordan man ved, at overvågningen rent faktisk virker. Direktionen foreslår en red team-øvelse med et klart spørgsmål: Opdager driftsleverandøren og den interne vagt det, hvis en angriber med en medarbejders adgang forsøger at nå styringen af anlæggene? Bestyrelsen godkender øvelsen som et frivilligt led i vurderingen af effektiviteten, ikke som opfyldelse af et bestemt krav. Efter øvelsen får bestyrelsen et resumé og en handlingsplan, og punktet kommer igen på dagsordenen et halvt år senere. Referaterne viser kæden fra spørgsmål til opfølgning. Det er den kæde, ikke øvelsen alene, der siger noget om, hvordan ledelsen har taget sit ansvar.
Når øvelsen viser svagheder
En øvelse, der finder alvorlige svagheder, skaber viden, som ledelsen derefter har. Det kan rejse spørgsmålet, om det er bedre ikke at vide. Det er et spørgsmål, ledelsen bør stille sin egen juridiske rådgiver, men udgangspunktet i reglerne er, at ledelsen skal føre tilsyn med, om foranstaltningerne virker. Det, der kan skabe problemer, er snarere en kendt svaghed uden en plan for, hvordan den håndteres. Teksten er ikke juridisk rådgivning.
Det skal I lade være med
- At kalde en frivillig øvelse et lovkrav · det skaber forkerte forventninger hos bestyrelse, tilsyn og kunder.
- At kalde en frivillig øvelse en TLPT · kun de test, der gennemføres efter DORA og de tekniske standarder, er TLPT. → Red teaming uden for TIBER-rammen
- At lade rapporten stå alene · uden beslutninger og opfølgning siger den intet om ledelsens handling.
- At bruge øvelsen som bevis for, at alt er i orden · den afprøver ét scenarie i én periode.
- At undlade at spørge rådgiveren · ansvarsspørgsmål afhænger af jeres konkrete forhold.
Hvad kan og ikke kan konkluderes
En frivillig red team-øvelse kan vise, at ledelsen har søgt viden om, hvorvidt forsvaret virker, og at den har handlet på resultatet. Den opfylder ikke i sig selv et lovkrav, den er ikke en TLPT, og den dokumenterer ikke, at organisationen overholder NIS2, DORA eller andre regler. Det gør heller ingen anden enkeltstående test.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver, herunder procedurer for risikostyring og interne kontroller.
- Direktiv (EU) 2022/2555 (NIS2): artikel 20 om ledelsesorganernes godkendelse, tilsyn og kurser.
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 6, om vurdering af foranstaltningernes effektivitet og § 7 om ledelsesorganets godkendelse og tilsyn.
- Forordning (EU) 2022/2554 (DORA): artikel 5 om ledelsesorganets ansvar, artikel 24 og 25 om testprogrammet og testtyperne og artikel 26 om TLPT for identificerede enheder.
- Delegeret forordning (EU) 2025/1190 (RTS om TLPT): artikel 9, stk. 6, om ledelsesorganets godkendelse af dokumentet om testens omfang.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om red teaming
Læs også: Ledelsens godkendelse · Når kunder eller tilsyn spørger til red teaming
→ Kontakt · Tlf. 70 13 63 23 · Red teaming hos Nielco IT
