Kort sagt: It-sikkerhed hører til ledelsens opgaver. Et ledelsesansvar ved it-sikkerhedshuller diskuteres især, når kendte risici ikke blev håndteret passende, ansvarsområder ikke var fastlagt, eller beslutninger ikke blev truffet på en sporbar måde. Ved situationer som PHP2Shell hjælper en klar, dokumenteret beslutning på grundlag af de tilgængelige fakta. Denne side er generel information og ingen juridisk rådgivning.
Ingen juridisk rådgivning: Ansvarsspørgsmål afhænger stærkt af den enkelte sag, selskabsformen og aftalemæssige regler. Lad konkrete spørgsmål vurdere af en advokat med speciale i selskabsret.
Ledelsesansvar og it-sikkerhed: den generelle ramme
For direktører i en GmbH (tysk selskab med begrænset ansvar) kræver § 43 GmbHG (tysk lov om selskaber med begrænset ansvar) en ordentlig forretningsmands omhu. For bestyrelser i et aktieselskab indeholder § 93 AktG (tysk aktielov) en tilsvarende regel; § 91, stk. 2, AktG kræver desuden egnede foranstaltninger til tidligt at erkende udviklinger, der truer selskabets fortsatte eksistens. Af disse almindelige pligter udledes i den faglige debat, at også it-risici skal styres passende.
For erhvervsmæssige beslutninger findes et skønsrum. Den, der beslutter på grundlag af passende information og til selskabets bedste, handler efter den såkaldte Business Judgment Rule som regel pligtmæssigt, selv om beslutningen senere viser sig ugunstig. Heraf følger en praktisk lære: Afgørende er ofte mindre resultatet end spørgsmålet, om beslutningen blev truffet informeret og på en sporbar måde.
Hvad NIS2 tilføjer
For virksomheder, der falder ind under NIS2, reguleres ledelsens ansvar udtrykkeligt. Ledelsen skal godkende risikostyringsforanstaltningerne, overvåge deres gennemførelse og lade sig uddanne i cybersikkerhed. I Tyskland sker gennemførelsen ved NIS2UmsuCG (tysk lov til gennemførelse af NIS2). Om jeres virksomhed er omfattet, og hvilke pligter der gælder i enkeltheder, finder I i oplysningerne fra BSI (det tyske forbundsagentur for informationssikkerhed). Et generelt overblik giver NIS2 og webserversikkerhed.
Dertil kommer pligter fra databeskyttelsen. Efter GDPR skal en virksomhed træffe passende tekniske og organisatoriske foranstaltninger og vurdere, dokumentere og eventuelt anmelde brud på beskyttelsen af personoplysninger efter art. 33.
Hvad en situation som PHP2Shell kræver af ledelsen
PHP2Shell omfatter to kritiske sårbarheder i PHP selv (CVE-2026-109618 og CVE-2026-109619, hver CVSS v4.0 9,2). BSI har udråbt advarselsniveau 3 (orange) og anbefaler en øjeblikkelig opdatering og, hvis det ikke er muligt, at tage webserverne midlertidigt af nettet. For ledelsen opstår dermed en typisk afvejning: omsætning og tilgængelighed over for en høj, offentligt kendt risiko.
Ingen forlanger, at direktører selv patcher servere. Men det kan forventes, at de tager situationen til efterretning, afklarer ansvarsområder, lader sig berette og træffer en beslutning. Spørgsmål, som ledelsen bør stille sig selv:
- Hvilke af vores systemer bruger PHP, og hvem er ansvarlig for dem, internt eller hos tjenesteudbyderen?
- Er opdateringerne indspillet og processerne genstartet, og findes der dokumentation herfor?
- Hvis ikke: Hvorfor ikke, hvilke midlertidige foranstaltninger kører, og tager vi systemet af nettet?
- Er der tegn på et indbrud, og hvem vurderer mulige anmeldelsespligter?
Dokumentér beslutninger
Notér situationsbillede, muligheder, beslutning og begrundelse kort skriftligt, med dato og klokkeslæt. En sådan protokol behøver ikke være lang. Den viser senere, at ledelsen var informeret og har afvejet. Det gælder udtrykkeligt også for beslutningen om at drive et system videre en begrænset tid trods risiko.
| Indhold | Eksempel |
|---|---|
| Situationsbillede | BSI advarselsniveau 3, patches tilgængelige siden 21.10.2026 |
| Berørte systemer | Shop, kundeportal, intern wiki-installation |
| Muligheder | patche straks, midlertidige foranstaltninger, tage af nettet |
| Beslutning | Shop patchet, wiki offline indtil opdateringen |
| Begrundelse og ansvarlige | Dokumentation fra tjenesteudbyder, kontrol ved it-chefen |
En patch fjerner ikke skadelig software, der allerede er smuglet ind. Også beslutningen om, hvorvidt der søges efter spor, hører hjemme i protokollen.
Organisér varigt i stedet for at improvisere i et alvorligt tilfælde
Den bedste forebyggelse er en klar organisation: en udpeget ansvarlig for informationssikkerhed, en procedure for sikkerhedsopdateringer, regelmæssige rapporter til ledelsen, en afprøvet IT-nødplan og en uafhængig kontrol med fornuftige mellemrum. Som metodisk ramme egner BSI's IT-Grundschutz sig.
Til organisationen hører også at udforme rapporter, så ledelsen forstår dem. En kort, regelmæssig rapport med få oplysninger er ofte nok: Hvor mange systemer er på aktuel status, hvor er der undtagelser og hvorfor, hvilke hændelser eller næsten-hændelser var der, hvilke beslutninger afventer. Den, der modtager sådanne rapporter, stiller opfølgende spørgsmål og fastholder resultater, kan senere vise, at overvågningen faktisk har fundet sted. Det gælder uafhængigt af, om teknikken ligger internt eller hos en tjenesteudbyder.
Hvordan hjælper PHP SOS konkret?
- Vi udarbejder et forståeligt situationsbillede af jeres webservere til ledelsen, med klare muligheder.
- Vi gennemfører den valgte mulighed og leverer en skriftlig teknisk dokumentation.
- Via et sikkerhedsaudit eller en penetrationstest skaber vi et uafhængigt grundlag for jeres beslutninger.
- Med en sikkerhedsvedligeholdelsesaftale regulerer vi opdateringer og rapporter varigt.
Ofte stillede spørgsmål
Hæfter en direktør personligt for et hackerangreb?
Et angreb alene begrunder ikke et personligt ansvar. Et ansvar diskuteres især, når omsorgspligter er tilsidesat, f.eks. hvis kendte risici blev ignoreret, eller ansvarsområder ikke var fastlagt. Om det er tilfældet i den enkelte sag, vurderer kun en juridisk rådgivning.
Kan jeg overdrage it-sikkerheden fuldstændigt til it-afdelingen eller en tjenesteudbyder?
Opgaver kan delegeres, men ansvaret for udvælgelse, udstyr og overvågning bliver hos ledelsen. Lad jer jævnligt berette, og notér, hvilke beslutninger der blev truffet på hvilket grundlag.
Hvad ændrer NIS2 ved ledelsens ansvar?
NIS2 kræver af ledelsen i omfattede virksomheder, at den godkender risikostyringsforanstaltninger, overvåger deres gennemførelse og deltager i uddannelse. Enkeltheder fremgår af den tyske gennemførelseslov og BSI's oplysninger.
Hjælper en D&O-forsikring?
En ledelsesansvarsforsikring kan dække bestemte ansvarsrisici for ledelsen, men vilkårene er meget forskellige. Afklar omfanget med jeres mægler eller forsikringsselskab.