Forfatter: Arild Sørum Stana
Styrets overordnede ansvar
Etter Aksjeloven § 6-12 har styret ansvar for forvaltningen av selskapet og skal sørge for forsvarlig organisering av virksomheten. Sikkerhet er derfor ikke et spørsmål om delegasjon til administrasjonen. Styret har et selvstendig ansvar for å sikre at virksomheten er forsvarlig organisert og drevet.
Dersom styret unnlater å følge opp vesentlige risikoforhold, kan selskapet få pålegg, gebyrer eller andre reaksjoner fra tilsynsmyndigheter. Styremedlemmer kan også bli personlig juridisk og økonomisk ansvarlige. Sikkerhet og beredskap er derfor en integrert del av styrets forvaltningsansvar.
Styret må sikre at virksomheten er forsvarlig organisert når det gjelder:
- Risikostyring
- Internkontroll
- Informasjonssikkerhet
- Krisehåndtering og kontinuitet
Med risikostyring inngår:
- Strategisk risiko
- Operasjonell risiko
- Finansiell risiko
- Teknologisk og digital risiko
- Omdømme- og regulatorisk risiko
Hvordan bør styret arbeide med sikkerhet?
For å oppfylle lovkravene må styret arbeide strukturert og dokumentert. Dette innebærer:
- Årlig gjennomgang av samlet risikobilde
- Fast behandling av sikkerhet og beredskap i styremøter
- Krav om dokumentert internkontroll
- Etablering og testing av beredskaps- og kontinuitetsplaner
- Opplæring av styremedlemmer i cyber- og sikkerhetsrisiko
Styret bør videre sikre at virksomheten kan dokumentere etterlevelse ved tilsyn.
Det er ikke tilstrekkelig å vedta retningslinjer; styret må også etterspørre rapportering og sikre at tiltak faktisk gjennomføres og testes. Styret kan delegere operativ gjennomføring til daglig leder, jf. Aksjeloven § 6-14, men kan ikke delegere det overordnede ansvaret. Kontrollplikten består. Dersom styret ikke etterspør rapportering eller ignorerer varsler om sikkerhetssvakheter, kan dette anses som uaktsomt.
Hva er nye og skjerpede lovkrav?
Utviklingen i europeisk og norsk rett viser en tydelig dreining mot mer eksplisitt regulering av sikkerhet, særlig innen digital infrastruktur.
Cybersikkerhet – Lov om digital sikkerhet
NIS er EUs regelverk for å styrke cybersikkerheten i samfunnskritiske virksomheter. Det første direktivet, NIS 1, ble vedtatt i 2016, og er senere blitt erstattet av NIS 2-direktivet på EU-nivå.
NIS1 er iverksatt i Norge gjennom Lov om digital sikkerhet. Loven stiller grunnleggende krav til hvordan virksomheter styrer, beskytter og følger opp digitale risikoer. Dette inkluderer risikohåndtering, hendelseshåndtering, leverandørstyring, sikkerhetsrapportering og tilsyn.
NIS2-direktivet som ikke tatt inn i norsk lov foreløpig, utvider gruppen av virksomheter som omfattes av krav til cybersikkerhet. Direktivet stiller krav om:
- Systematiske risikovurderinger
- Tekniske og organisatoriske sikkerhetstiltak
- Varsling av alvorlige hendelser
- Ledelsesforankring av sikkerhetsarbeidet
En viktig endring er at ledelsen uttrykkelig holdes ansvarlig for manglende etterlevelse. Dette tydeliggjør at digital sikkerhet er et styreanliggende.
Finanssektoren – DORA
DORA (Digital Operational Resilience Act) er et nytt EU-regelverk som trådte i kraft i Norge 1. juli 2025. Det stiller strenge krav til digital sikkerhet og operasjonell motstandskraft i finanssektoren. Målet er å sikre at finansforetak og deres IKT-leverandører kan stå imot, håndtere og komme seg etter cyberangrep og andre digitale forstyrrelser.
Regelverket stiller detaljerte krav til digital operasjonell robusthet, blant annet testing av IKT-systemer og kontroll med tredjepartsleverandører. Styret skal godkjenne og følge opp rammeverk for IKT-risiko.
Nasjonal sikkerhet
Lov om nasjonal sikkerhet (Sikkerhetsloven) har som formål å bidra til å trygge Norges suverenitet, territorielle integritet og demokratiske styreform og andre nasjonale sikkerhetsinteresser. Et formål er også å bidra til å forebygge, avdekke og motvirke sikkerhetstruende virksomhet.
Loven gjelder virksomheter som er av betydning for nasjonal sikkerhet. Loven stiller krav om forebyggende sikkerhetstiltak og systematisk risikostyring.
Leverandørkjede og samfunnsansvar
Åpenhetsloven pålegger større virksomheter å gjennomføre aktsomhetsvurderinger knyttet til menneskerettigheter og anstendige arbeidsforhold. Årlig, innen 30. juni, skal virksomheten offentliggjøre en redegjørelse og besvare informasjonskrav fra allmennheten. Formålet er å fremme etisk næringsvirksomhet.
Selv om loven primært gjelder samfunnsansvar, er den nært knyttet til virksomhetens helhetlige risikostyring og beredskap.
Statlig tilsyn med aksjeselskaper
Tilsyn i Norge er sektor- og risikobasert. Ulike myndigheter fører tilsyn og kontroll innenfor sine ansvarsområder. Noen slike tilsynsorgan er:
- Brønnøysundregistrene kontrollerer registrerings- og regnskapsplikt.
- Datatilsynet fører tilsyn med personvern og informasjonssikkerhet.
- Finanstilsynet fører tilsyn med finansforetak og IKT-risiko i sektoren.
- Nasjonal sikkerhetsmyndighet fører tilsyn etter sikkerhetsloven og lov om digital sikkerhet.
- Arbeidstilsynet fører tilsyn med HMS og arbeidsmiljø.
- Forbrukertilsynet veileder og fører tilsyn med åpenhetsloven.
Tilsynene kan gi pålegg, forbud, overtredelsesgebyr og i alvorlige tilfeller politianmelde forhold. Dette bidrar til å konkretisere og skjerpe styrets aktsomhetsnorm.
Rettslig utvikling – fra implisitt til eksplisitt ansvar
Styrets ansvar for sikkerhet og beredskap følger allerede av aksjelovens generelle forvaltningsansvar, men nyere regelverk har gjort
ansvaret mer eksplisitt og strengere. Utviklingen viser en klar forventning om at styret skal ha aktiv kontroll med virksomhetens risikobilde.
Sikkerhet og beredskap er dermed ikke bare et spørsmål om etterlevelse, men om forsvarlig virksomhetsstyring og langsiktig verdiskaping. Styret må arbeide systematisk, dokumentert og kontinuerlig for å sikre virksomhetens robusthet i møte med et stadig mer komplekst trusselbilde.
