Bestyrelsen troede, de var klædt på til NIS2. Det var de ikke.

For nylig sad jeg over for en bestyrelsesformand, der havde gjort alt rigtigt - på papiret. Ledelsesdag med et oplæg om NIS2. Et halvdags online kursus, sendt rundt til hele direktionen. Boksen krydset af i compliance-skemaet.

Da jeg spurgte, hvad der konkret ville ske i virksomheden, hvis en CFO fik en deepfake-opringning fra “koncernchefen” med besked om at overføre et millionbeløb i morgen tidlig - blev der stille. Ikke fordi svaret var svært at gætte. Men fordi ingen i lokalet reelt vidste det.

Det er ikke en enlig svale. Det er mønstret, vi ser igen og igen, når vi taler med bestyrelsesformænd og direktører, der har været igennem netop den slags forløb: de har hørt om NIS2. De har siddet et halvdags kursus igennem. Og en måned senere kan de ikke længere sige, hvem der har ansvaret, hvis det går galt.

Hvorfor det glemmes - og ikke er et spørgsmål om vilje

Det er ikke fordi bestyrelsesmedlemmer ikke lytter efter. Det er, fordi hjernen fungerer sådan. Den tyske psykolog Hermann Ebbinghaus dokumenterede allerede for over hundrede år siden, hvad der sker med ny viden, når den ikke bruges eller gentages: en stor del forsvinder i løbet af de første timer, og efter en uge er det meste væk, hvis der ikke har været nogen form for opfølgning undervejs.

Det gælder compliance-oplæg lige så meget som alt andet, vi lærer. Et velproduceret halvdags kursus med flotte slides forsvinder lige så hurtigt som et kedeligt et af slagsen, hvis det aldrig bliver fulgt op. Problemet er ikke kvaliteten af den enkelte session. Det er formatet: én dag, én gang, og så intet.

Og det er præcis dét format, langt de fleste NIS2-kurser på markedet i dag er bygget over.

Vi skrev om det i sidste uge - og det illustrerer pointen

Vi har for nylig arbejdet med Arup-sagen fra Hong Kong, hvor et selskab tabte omkring 25 millioner dollars til en deepfake-video af egen økonomidirektør. Sagen bruges ofte som skræk-eksempel til at sælge et kursus. Men den virkelige pointe er en anden: at have hørt om deepfake-svindel er ikke det samme som at vide, hvad ens egen bestyrelse konkret skal gøre, når det sker. Governance-forpligtelsen i NIS2-lovens §§ 20-21 om ledelsens risikostyringsansvar gælder, uanset om den konkrete hændelse formelt kan klassificeres som en indberetningspligtig NIS2-hændelse eller ej. Det er den forberedelse, der tæller - ikke om man kan nikke genkendende til et eksempel fra en LinkedIn-artikel.

Værste tilfælde: hvis AI-systemet også bliver ramt

Der er et lag oveni, som er værd at tage med - selvom det endnu ikke er aktuelt. Forestil jer den samme sag, men hvor det ikke kun er en medarbejder, der bliver narret af en deepfake-video. Forestil jer, at virksomhedens eget højrisiko AI-system samtidig bliver kompromitteret som en del af angrebet - for eksempel et system, der bruges til kreditvurdering, ansættelse eller sikkerhedsovervågning, og som svindlerne formår at manipulere eller bruge som indgang.

I det scenarie er der teoretisk tre lag oveni hinanden: selve tabet fra bedrageriet, en NIS2-bøde for utilstrækkelig risikostyring eller manglende hændelsesindberetning (op til 10 mio. EUR eller 2% af global omsætning), og en AI Act-bøde for manglende indberetning af en alvorlig hændelse efter artikel 73 (op til 35 mio. EUR eller 7% af global omsætning). To selvstændige tilsynsspor, to selvstændige sanktionsrammer - samme hændelse.

Men her holder vi fast i en vigtig præcisering: det tredje lag er ikke aktuelt lige nu. EU vedtog i sommeren 2026 et Digital Omnibus, der udskyder de fulde forpligtelser for højrisiko AI-systemer - herunder indberetningspligten efter artikel 73 - til 2. december 2027. En dansk kritisk infrastruktur-virksomhed, der rammes i dag, står altså ikke over for den tredje bøde endnu. Men den dag forpligtelserne træder i kraft, gør den. Og de virksomheder, der allerede nu har kortlagt deres AI-systemer og bygget governance omkring dem, er dem, der ikke skal starte forfra, når fristen rykker nærmere.

SAMSIK skifter tilgang i 2026

Der er en anden udvikling, som mange bestyrelser endnu ikke har taget fuldt ind. Siden loven trådte i kraft i sommeren 2025, har Styrelsen for Samfundssikkerhed (SAMSIK) i høj grad optrådt som vejleder - vejledninger, spørgsmål-svar, en tilgang der handlede om at hjælpe virksomhederne på plads. Det billede er ved at ændre sig. I løbet af 2026 ventes tilsynsmyndighederne at bevæge sig fra vejledning til kontrol, nu hvor loven er på plads og registreringsfristen er passeret, og de første sager mod danske virksomheder ventes at ramme klare tilfælde af manglende registrering eller manglende hændelsesrapportering. SAMSIK har selv meldt ud, at styrelsen allerede i 2026 skærper tilsynsindsatsen - foreløbig i telesektoren, hvor der nu føres tilsyn med informationssikkerhedsledelse, risikostyring og underretningspligter.

Med andre ord: den periode, hvor man kunne nøjes med at vise god vilje, er ved at være slut. Nu er det tid til at kunne dokumentere, at bestyrelsen reelt har taget stilling - ikke bare deltaget i noget.

Hvorfor et enkeltstående kursus ikke er svaret

Et halvdags online kursus kan gøre én ting godt: skabe opmærksomhed. Det kan ikke gøre det, en bestyrelse faktisk har brug for under NIS2 - nemlig at kunne redegøre for, hvordan man har vurderet risici, hvem der ejer hvad, og hvilke beslutninger der er truffet, når tilsynet en dag ringer.

Det er derfor, vi har bygget NIS2 Board & Leadership Cyber Resilience Programme anderledes. Det er ikke ét oplæg, man sidder igennem og glemmer. Det er en vedvarende governance-proces - bygget op omkring vores Decision Readiness-model, hvor bestyrelsen ikke bare hører om reglerne, men arbejder sig igennem de konkrete beslutninger, dokumentationen og ansvarsfordelingen, der skal stå distancen, når tilsynet kommer. Det er forskellen på at have været til stede og på faktisk at være forberedt.

Travlhed er ikke undskyldningen

Jeg hører det argument overalt, når jeg taler med kolleger i branchen og med bestyrelses- og direktionsmedlemmer: “Vi er travle mennesker. Vi kan ikke bruge en hel dag på et NIS2-kursus.”

Lad mig være ærlig: det argument holder ikke.

De samme mennesker bruger ugevis - nogle gange måneder - på personlig udvikling. Lederuddannelser, executive coaching, bestyrelsesuddannelser, netværksrejser. Der er ikke noget galt i det. Men det afslører, at det aldrig har handlet om tid. Det handler om prioritering.

Og her er, hvad der reelt står på spil, hvis prioriteringen er forkert: NIS2 giver i sin yderste konsekvens myndighederne mulighed for midlertidigt at forbyde et medlem af direktionen - og for væsentlige enheder også ledelsesorganet bredere forstået - at udøve ledelsesfunktioner i virksomheden. Ikke en bøde til selskabet. Ikke en bemærkning i årsrapporten. Retten til overhovedet at sidde i lokalet.

Det er ikke den første sanktion, der tages i brug. Myndighederne skal først have forsøgt sig med advarsler, påbud og de øvrige “niveau 1”-værktøjer uden virkning. Men det er den sanktion, der venter for enden af vejen, hvis man vælger at ignorere det. Og den rammer ikke virksomheden. Den rammer dig, personligt.

Så næste gang nogen siger, de ikke har tid til én dag om NIS2 - så spørg dem, hvor mange dage de har brugt på deres eget CV i år.

Næste skridt

Vores næste åbne forløb afholdes 24. september 2026 på Store Kro i Fredensborg, med plads til 16 deltagere. Der er også mulighed for et internt forløb for op til 10 deltagere fra samme organisation.

Hvis du selv skal foran bestyrelsen og svare på, hvad der konkret sker, den dag det går galt - er du klar til at give det svar i dag, eller ville der også blive stille i lokalet?