--- title: "Sikkerhedsadoption begynder i bestyrelseslokalet, ikke ved helpdesken | Guardian360" description: "Reel adoption handler ikke om, hvorvidt slutbrugere klikker på de rigtige knapper; det handler om, hvorvidt de direktører, der er ansvarlige for cyberrisiko, forstår dashboardet." url: https://guardian360.net/da/blog/security-adoption-begins-in-the-boardroom/ locale: en source: guardian360.net --- [← Alle indlæg](https://guardian360.net/da/blog/) Partnere # Sikkerhedsadoption begynder i bestyrelseslokalet, ikke ved helpdesken Af Jan Martijn Broekhof · 18. maj 2026 MSP-branchen er endelig begyndt at tale om adoption. Talen handler om Copilot-licenser, awareness-scorer og Teams-strukturer, alt sammen om slutbrugere. Den sværere samtale, den der betyder mest, er endnu ikke for alvor begyndt: forstår de mennesker, der er personligt ansvarlige for cyberrisiko, rent faktisk de dashboards, som deres MSP viser dem? Det spørgsmål dukkede op igen i flere nylige kundesamtaler, i forskellige partnersessioner, og endnu en gang under et nyligt afsnit af MSP Late Night, hvor adoption endelig var det centrale emne. Stemmerne omkring bordet var skarpe på Copilot, på awareness-træning og på kløften mellem at sælge en licens og at ændre adfærd. Men diskussionen forblev næsten udelukkende hos slutbrugeren. Inden for informationssikkerhed og compliance, hvor NIS2 nu har gjort direktører personligt ansvarlige, sidder det større blinde punkt en etage højere oppe. ## Adoption er ikke kun et slutbrugerproblem Når MSP’er taler om adoption, mener de som regel det samme, som produktivitetsleverandørerne mener. Bruger folk værktøjet? Prompter de Copilot? Gennemfører de awareness-modulet? Klikker de på de rigtige knapper i det rigtige system? De spørgsmål betyder noget. Men inden for sikkerhed og compliance er der et andet adoptionsspørgsmål, der næsten aldrig bliver stillet. Forstår den leder, der godkendte kontrakten, hvad værktøjet fortæller dem? Læser den direktør, der er personligt ansvarlig for resultatet, dashboardet? Styrer den ledelse, der ejer forretningsrisikoen, organisationen på baggrund af de tal, det producerer? Hvis de ikke gør, er dashboardet ikke adopteret. Det er betalt for. Det er en anden ting. ## Hvordan ved en direktør, om deres MSP rent faktisk beskytter dem? Dette er det spørgsmål, ejere, direktører og bestyrelsesmedlemmer taster ind i søgefelter og stiller deres betroede rådgivere. Det er også det spørgsmål, MSP’er er dårligst rustet til at besvare i bestyrelsesvenligt sprog. World Economic Forums Global Cybersecurity Outlook 2026, offentliggjort i januar 2026 sammen med Accenture og bygget på svar fra 804 seniorledere på tværs af 92 lande, indfanger kløften i to tal. Blandt de organisationer, WEF klassificerer som højt robuste, rapporterer nioghalvfems procent bestyrelsesinvolvering i cybersikkerhed. Opmuntrende ved første øjekast. Læs længere nede i den samme rapport, og kun tooghalvtreds procent af de samme organisationer siger, at deres bestyrelsesmedlemmer rent faktisk modtager regelmæssige cybersikkerhedsopdateringer. “Involvering uden information er ikke det samme som tilsyn.” Den samme undersøgelse er kontant om et andet punkt: hvad der bekymrer CEO’en, og hvad der bekymrer CISO’en, stemmer ikke længere overens. CEO’er sætter cyberaktiveret svindel og phishing øverst på deres bekymringsliste; CISO’er rangerer stadig ransomware først. De ser på det samme trusselslandskab og drager forskellige konklusioner, fordi de læser forskellige dashboards i forskellige ordforråd. For en direktør kan spørgsmålet om “er jeg beskyttet” ikke besvares ved at pege på en Secure Score, en compliance-procent eller et farvekodet heatmap. Det kan kun besvares af en, der er villig til at oversætte scoren til konsekvenserne for forretningen: omsætning i fare, kontrakter i fare, personligt ansvar i fare. ## Et dashboard er ikke en strategi Gå ind i den gennemsnitlige mellemstore organisation, der bruger en MSP til sikkerhed og compliance, og du vil finde dashboards. Microsoft Secure Score. Et sårbarhedstal fra en scanner. En ISO 27001-parathedsprocent. En NIS2-selvvurdering. En Defender- eller EDR-konsol. Nogle gange en custom visning fra selve MSP’en. Hvad du som regel ikke vil finde er ét kort svar på spørgsmålet: “Hvad betyder noget af dette for vores forretning dette kvartal?” Trend Micros Defenders Survey 2025, der spurgte mere end tre tusinde cybersikkerhedsprofessionelle, gjorde pointen klart. Kun omkring tredive procent af respondenterne sagde, at deres organisation har “en struktureret, løbende model for at kommunikere om sikkerhedshændelser med interessenter.” Rapporten konkluderede, at at styre cyberrisiko på ledelsesniveau “kræver oversættelse: at udtrykke risiciene i forretningsmæssige termer i stedet for tekniske.” Dashboards findes, dataene findes, værktøjerne virker. Flaskehalsen er oversættelseslaget. Og oversættelseslaget er, næsten per definition, rollen for den, der sidder mellem teknologien og bestyrelseslokalet. For de fleste mellemstore organisationer er det MSP’en. Hans ten Hove, en fast gæst ved MSP Late Night-bordet, formulerede det kontant i et hollandsk LinkedIn-opslag: “en uadopteret løsning, skrev han, er simpelthen en dyr faktura med et dashboard vedhæftet.” Det er den sætning, der er værd at holde sig for øje, hver gang et nyt compliance-dashboard rulles ud. ## Hvad ændrede NIS2 stille ved bestyrelsesansvar? Diskussionen ville være teoretisk, hvis det ikke var for det juridiske skift, der nu er ankommet for alvor. Under artikel 20 i NIS2-direktivet skal ledelsesorganet i en væsentlig eller vigtig enhed godkende organisationens cyberrisikohåndteringsforanstaltninger, overvåge deres implementering og gennemføre obligatorisk træning for at kunne vurdere cyberrisici. Som DLA Piper redegjorde for i en analyse af direktivet fra november 2025, kan dette ansvar ikke skubbes ned til IT-afdelingen eller outsources til en ekstern udbyder. Medlemsstaterne har fået beføjelse til at pålægge personligt ansvar på individuelle direktører og i alvorlige tilfælde at suspendere en CEO eller juridisk repræsentant fra deres funktioner. Tysklands reviderede BSI-Gesetz, der trådte i kraft den 6. december 2025, går endnu videre. Den gør ledelsesorganer personligt ansvarlige for rent faktisk at implementere cyberrisikoforanstaltningerne, ikke blot at godkende dem. Den tyske regulator har bekræftet, at den, med registreringsfristen den 6. marts 2026 nu overskredet, er gået over til aktiv håndhævelse. For en MSP er implikationen skarpere, end den først lader til. En direktør, der er personligt ansvarlig for cyberrisiko, og som ikke i klart sprog kan forklare, hvad deres compliance-dashboard betyder, er eksponeret. Ikke fordi MSP’en fejlede teknisk; fordi adoptionskløften, mellem værktøjet og den person der er juridisk ansvarlig for resultatet, aldrig blev lukket. NIS2 siger ikke, at MSP’er skal blive forretningsfortolkere. Men det gør det umuligt for ethvert seriøst bestyrelsesmedlem at forblive en passiv modtager af en Secure Score, de ikke læser. ## Fra IT-leverandør til forretningsfortolker Det er her, MSP’ens rolle skal udvikle sig, og hvor mange MSP’er ærligt talt finder det mest ubehageligt. Implementering er velkendt terræn. Patch-cyklusser, baselines, overvågning, incident response, ticket-SLA’er. Det tekniske håndværk i at drive et IT-landskab er reelt svært, og de mennesker, der gør det godt, fortjener mere anerkendelse, end de får. Hvad det tekniske håndværk ikke automatisk producerer, er en samtale, hvor en direktør på fem minutter forstår, hvad de er beskyttet mod, hvad de ikke er beskyttet mod, hvad det ville koste at lukke hullet, og hvad der ville ske med forretningen, hvis hullet blev udnyttet. Den samtale er en anden færdighed. Den kræver en, der kan sidde mellem en Microsoft Defender-konsol og et resultatopgørelse og forklare, hvorfor det ene påvirker det andet. Den kræver en, der er tryg ved at sige: “Din compliance-score er otteoghalvfjerds procent, her er de tre kontroller, der mangler, og her er den kontrakt, du måske mister, hvis en kundeaudit fanger dem.” Den kræver, at MSP’en holder op med at sælge værktøjer og begynder at sælge klarhed. Nogle få MSP’er på de hollandske, belgiske og tyske markeder er stille i gang med at opbygge denne kapacitet inde i deres egne teams. De fleste er ikke, endnu. De, der gør, vil opdage, at deres fornyelsessamtaler bliver kortere og deres marginer bedre, fordi den værdi, de leverer, bliver synlig for den person, der underskriver checken. De, der ikke gør, vil blive husket som leverandøren, hvis dashboards ingen læste. ## Hvor Guardian360 passer ind Jeg driver en ISV, der laver et af de dashboards, så det ville være uærligt at skrive dette uden at adressere, hvad vi gør og ikke gør. Lighthouse-platformen producerer de sædvanlige tekniske output, som ethvert seriøst security-værktøj producerer: scanningsresultater på tværs af netværk, IP’er og webapplikationer, Microsoft 365-sikkerhedsindsigter gennem Graph API, sårbarhedsfund og compliance-anbefalinger mod mere end fyrre normer og love. Intet af det er unikt. Hvad vi har brugt de sidste par år på at bygge, og hvad vi mener betyder mest for samtalen i denne blog, er en forretningsrisiko-score, der sidder ved siden af de tekniske risiko-scorer. Målet er simpelt: giv bestyrelsen et tal, der forbinder til forretningen, ikke kun til aktivet. En platform kan understøtte oversættelsessamtalen. Den kan ikke føre samtalen. Det er partnerens opgave, og det er der, vi hver dag er afhængige af de MSP’er, integratorer og rådgivere, der arbejder med os. Værktøjet lukker en del af adoptionskløften. Relationen lukker resten. ## Et andet spørgsmål at stille ved din næste MSP-gennemgang Hvis du er direktør, ejer eller bestyrelsesmedlem, behøver du ikke læse NIS2-artiklerne for at handle på det, de indebærer. Ved din næste gennemgang med din IT-partner skal du ikke spørge, hvad de har implementeret dette kvartal. Spørg, om du, din ledelse og ideelt set din bestyrelse forstår, hvad de implementeringer betyder for forretningen. Hvis svaret tager længere tid end implementeringsopsummeringen gjorde, har du dit fund. Sikkerhedsadoption begynder i bestyrelseslokalet, ikke ved helpdesken. MSP-branchen, den bredere IT-sektor og regulatorerne er alle begyndt, på hver deres måde, at skubbe i samme retning. Bloggene og podcastene om slutbrugeradoption er en sund begyndelse. Den næste samtale, den sværere, handler om de mennesker, hvis navne står øverst i organisationsdiagrammet, og hvis underskrifter ender på regulatorens brev. Hvis den samtale endnu ikke har fundet sted i din organisation, er det den mest nyttige at få sat i kalenderen.