En bestyrelse, der mangler viden om IT, har tre veje. Den kan vælge et nyt medlem med IT-baggrund, knytte en fast rådgiver til bestyrelsen eller lade en ekstern IT-leder rapportere til den gennem direktionen. De tre løsninger løser forskellige problemer. Et bestyrelsesmedlem deler ansvaret og stiller spørgsmål indefra. En rådgiver hjælper bestyrelsen med at forstå og vurdere uden at bære ansvar. En ekstern IT-leder leder selve arbejdet i virksomheden og giver bestyrelsen et grundlag at træffe beslutninger på. Mange bestyrelser ender med en kombination, men rollerne må ikke blandes, for den, der leder arbejdet, kan ikke også være den, der kontrollerer det.
Hvorfor spørgsmålet er kommet op
Selskabslovens § 115 pålægger bestyrelsen i et kapitalselskab at stå for den overordnede ledelse og at påse, at selskabet har passende risikostyring og interne kontroller. Når driften afhænger af systemer, data og leverandører, er det svært at løfte den opgave uden at forstå IT-risici.
For virksomheder omfattet af NIS2 er kravet mere direkte. Efter den danske NIS2-lov, § 7, skal ledelsesorganet godkende sikkerhedsforanstaltningerne og holde øje med gennemførelsen, og medlemmerne har pligt til at gå på kurser i styring af cyberrisici. I et selskab med både bestyrelse og direktion er ledelsesorganet efter lovens definition bestyrelsen. Loven stiller intet krav om et medlem med IT-baggrund. Den forudsætter dog, at bestyrelsen kan forstå og vurdere det, den godkender. Hvordan rollerne fordeler arbejdet under NIS2, er gennemgået i NIS2 og ekstern IT-ledelse.
Vej 1: et bestyrelsesmedlem med IT-baggrund
Et nyt medlem med erfaring fra IT-ledelse eller informationssikkerhed giver bestyrelsen viden ved bordet. Medlemmet kan stille de opfølgende spørgsmål, som andre ikke tænker på, og læse en rapport fra direktionen med et kritisk blik.
Fordelene er, at viden og ansvar sidder samme sted, og at medlemmet deltager i alle drøftelser, også dem, der ikke umiddelbart handler om IT. Ulempen er, at det tager tid at finde den rette person, og at et valg til bestyrelsen følger selskabets regler og generalforsamlingen. Medlemmet har samme ansvar som de øvrige medlemmer, og resten af bestyrelsen må ikke lægge IT fra sig, fordi én kender emnet.
Medlemmet skal holde sig til bestyrelsesrollen. Begynder det at instruere IT-leverandører eller tage beslutninger i driften, overtager det direktionens opgaver og mister evnen til at føre tilsyn med dem. Hvad nye medlemmer i øvrigt bør vide om IT-ledelsen, står i Nye medlemmer i bestyrelsen.
Vej 2: en fast rådgiver for bestyrelsen
En rådgiver kan deltage i udvalgte møder, gennemgå materiale før møderne og give bestyrelsen en uafhængig vurdering af direktionens oplæg. Rådgiveren er ikke medlem og bærer ikke bestyrelsesansvar.
Løsningen er hurtig at etablere og kan afgrænses til bestemte emner, fx sikkerhed eller et stort systemskifte. Den kræver dog, at bestyrelsen selv stiller de spørgsmål, rådgiveren skal besvare, og at det er klart, at beslutningerne træffes af bestyrelsen.
Rådgiveren må ikke samtidig lede arbejdet i virksomheden. Hvis den samme person både har udarbejdet direktionens oplæg og skal vurdere det over for bestyrelsen, forsvinder den uafhængige vurdering. Det gælder også, hvis rådgiveren har bindinger til virksomhedens leverandører, se Uvildig IT-rådgivning.
Vej 3: en ekstern IT-leder, der rapporterer
En ekstern IT-leder løser et andet problem. Rollen leder IT-arbejdet i virksomheden, prioriterer opgaverne og styrer leverandørerne. Bestyrelsen får gavn af det gennem bedre rapportering, fordi der nu er en person, der kan beskrive risici og status på et sprog, ledelsen forstår.
Rapporteringen bør gå gennem direktionen, som har ansvaret for den daglige ledelse efter selskabslovens § 117. Den eksterne kan deltage i et bestyrelsesmøde en gang om året eller ved særlige anledninger. Hvordan det tilrettelægges, er beskrevet i Bestyrelsens rolle, når IT-ledelsen ligger uden for huset.
Den eksterne IT-leder er en del af det, bestyrelsen fører tilsyn med. Bestyrelsens egen kompetence skal derfor findes ved siden af. Det, rollen tilfører, er bedre materiale at arbejde med.
Sådan vælger I
De tre veje kan sammenlignes på nogle få spørgsmål:
- Mangler bestyrelsen forståelse eller materiale? Mangler den forståelse, peger det på et medlem eller en rådgiver. Mangler den materiale, fordi ingen i virksomheden leder IT, peger det på en ekstern IT-leder.
- Hvor hurtigt skal det løses? En rådgiver eller en ekstern leder kan være på plads inden for få måneder. Et nyt medlem følger valgperioden.
- Er virksomheden omfattet af NIS2? Så skal bestyrelsen selv kunne godkende og føre tilsyn, og kurser for medlemmerne er et krav i sig selv.
- Hvor stor er afhængigheden af IT? Jo mere driften afhænger af systemer, jo stærkere argument for et medlem med baggrunden.
Tænk på en familieejet handelsvirksomhed med 80 ansatte, en webshop og en bestyrelse uden IT-erfaring. Her kan en ekstern IT-leder skabe overblikket i virksomheden, mens bestyrelsen gennemfører et kursus og overvejer et nyt medlem ved næste generalforsamling. De tre veje udelukker ikke hinanden, når rollerne er skilt ad. Hvilken IT-rolle virksomheden selv mangler, kan afklares med spørgsmålene til ledelsen.
Det skal I lade være med
- At vælge et IT-medlem, der også leverer til virksomheden · tilsyn og levering kolliderer.
- At lade rådgiveren skrive direktionens oplæg · så er vurderingen ikke længere uafhængig.
- At lade den eksterne IT-leder rapportere uden om direktionen · det skaber tvivl om, hvem der leder.
- At lægge hele IT-ansvaret hos ét medlem · ansvaret er fælles for bestyrelsen.
- At springe kurserne over under NIS2 · de er et krav til medlemmerne selv.
Det skal I kræve af den eksterne
- ☐ Rapportering, som direktionen kan bruge direkte i bestyrelsens materiale.
- ☐ Vilje til at fremlægge for bestyrelsen, når direktionen beder om det.
- ☐ Åbenhed om bindinger til virksomhedens leverandører.
- ☐ Forklaringer uden fagudtryk, eller med fagudtrykkene forklaret.
- ☐ Respekt for, at bestyrelsens rådgiver og den eksterne har hver sin rolle.
Næste skridt er, at formanden sætter IT-kompetencen på dagsordenen og får bestyrelsen til at svare på, om den mangler forståelse, materiale eller begge dele. Teksten er en praktisk gennemgang og ikke juridisk rådgivning.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens opgaver og § 117 om direktionens daglige ledelse.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 2, nr. 20, om ledelsesorganet og § 7 om godkendelse, tilsyn og kurser.
- Direktiv (EU) 2022/2555 på EUR-Lex: art. 20 om ledelsesorganernes ansvar og uddannelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Spørgsmål og svar for bestyrelsesformanden · Ekstern DPO, vCISO og driftsleverandør
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
