Allt fler organisationer genomför just nu styrelseutbildningar i cybersäkerhet. Drivkrafterna är flera. Nya EU-regelverk pekar uttryckligen ut ledningsorganet som ansvarigt. Incidenter de senaste åren har visat att en styrelse som inte förstår sin organisations cyberrisk har svårt att utöva tillsyn. Försäkringsbolag, kunder, revisorer och inte minst regulatorer börjar fråga efter dokumentation på att utbildning faktiskt har skett.
Men ett antal av dessa utbildningar är, ärligt talat, ett tomt skal. En PowerPoint på en halv eftermiddag, en avbockning i protokollet, ett intyg i en mapp. Det räcker när ingen ifrågasätter. Det räcker inte den dag en regulator, en revisor eller en domstol faktiskt granskar vad styrelsen visste, när de visste det, och vad de gjorde med kunskapen.
Den här texten är skriven för styrelseordförande, vd:ar, bolagsjurister och de externa rådgivare som har i uppdrag att designa eller upphandla styrelseutbildning i cybersäkerhet. Den behandlar utbildningen som vad den faktiskt är: en compliance-artefakt vars värde avgörs av om den håller vid extern granskning. Inte som en pedagogisk aktivitet vars värde avgörs av om deltagarna tyckte att den var intressant.
Varför styrelser nu får ett särskilt ansvar för cybersäkerhet
Cybersäkerhetsansvaret har historiskt landat hos IT-funktionen, sedan hos CISO-funktionen, och först de senaste åren tydligt på styrelsenivå. Förskjutningen drivs av tre samverkande krafter.
För det första: regulatoriska. NIS2-direktivet, implementerat i Sverige som Cybersäkerhetslagen, kräver att ledningsorganet godkänner och övervakar organisationens cybersäkerhetsriskhantering samt genomgår utbildning för att kunna utöva detta ansvar. Det är inte rekommendationer utan lagkrav, och de gäller för en lång lista av sektorer. Liknande styrningstendenser kan ses i DORA för finanssektorn och i AI-akten, där organisationer som utvecklar eller använder högrisk-AI omfattas av omfattande styrnings- och efterlevnadskrav. EU har bestämt sig för att cybersäkerhet och digital risk är en styrelsefråga.
För det andra: kommersiella. Större kunder, försäkringsbolag och investerare frågar i due diligence-processer hur styrelsens cybersäkerhetstillsyn ser ut. En styrelse som inte kan svara förlorar förtroende, och i förlängningen affärer. För bolag i kritiska sektorer eller i värdekedjor som har egna NIS2- eller DORA-skyldigheter har detta blivit en hygienfaktor.
För det tredje: ansvarsmässiga. Aktiebolagslagen lägger ett allmänt ansvar på styrelseledamöter att utöva tillsyn över bolagets verksamhet och dess väsentliga risker. För de flesta organisationer är cybersäkerhet idag en sådan väsentlig verksamhetsrisk. Att inte ha utövat tillsyn över den blir alltmer svårt att försvara. Den dag ett bolag drabbas av en allvarlig cyberincident kommer frågan att ställas: vad gjorde styrelsen, och vad förstod den? Utan dokumenterad styrelseutbildning är den frågan obekväm.
Det här är kontexten där styrelseutbildningar nu designas. Det är också kontexten där en utbildning som inte håller måttet kan bli mer skada än nytta. En bristfällig utbildning riskerar att ge en falsk bild av organisationens faktiska mognad och kan vara svår att åberopa som stöd för att styrelsen utövat ett aktivt ansvar.
Vad en försvarbar utbildning faktiskt behöver täcka
En styrelseutbildning i cybersäkerhet är inte en miniatyrversion av en CISO-utbildning. Den ska inte göra styrelseledamöter till tekniska experter. Den ska göra dem till kompetenta tillsynsutövare av organisationens cybersäkerhetsfunktion. Det är en annan disciplin, och innehållet ska anpassas därefter.
Fem områden behöver täckas substantiellt.
Det regulatoriska landskapet och organisationens position i det. Styrelsen behöver förstå vilka regelverk som tillämpas på den egna verksamheten, vilka roller bolaget har under varje regelverk, vilka skyldigheter som följer, och vilka sanktioner som riskerar. Detta är inte juridisk djupdykning utan strategisk orientering: en karta över terrängen, så att styrelsen kan ställa rätt frågor om var organisationen befinner sig och var den ska vara.
Den egna organisationens specifika riskprofil. Vilka är de centrala digitala tjänsterna, processerna och systemen? Var ligger de största sårbarheterna? Vilka är de troligaste hotaktörerna och attackvägarna? Vilka är de allvarligaste tänkbara scenarierna? Detta är generisk cybersäkerhetskunskap tillämpad på den specifika organisationen, och det är just denna anpassning som skiljer en värdefull utbildning från en generisk. En styrelse som inte vet vilka system som faktiskt är affärskritiska kan inte utöva meningsfull tillsyn över skyddet av dem.
Strukturen för cybersäkerhetsstyrning inom organisationen. Vem ansvarar för vad? Hur rapporteras risker uppåt? Hur fattas beslut om risk acceptans, riskreducering, risköverföring? Vilka kommittéer eller funktioner finns? Hur ser den interna kontrollen ut? Styrelsen behöver förstå inte bara att det finns en CISO-funktion, utan hur den är organiserad, vilken auktoritet den har, och hur den interagerar med övriga ledningsfunktioner.
Vad styrelsens egen roll faktiskt är. Detta är ofta det mest underutvecklade området i befintliga utbildningar. Styrelsen behöver veta vilka beslut som ska eskaleras till den, vilka frågor som ska ställas i den löpande tillsynen, vad som förväntas i en incidentsituation, hur arbetet ska dokumenteras, och var gränsen går mellan tillsynsansvar och operativ inblandning. Detta är en governance-fråga lika mycket som en cyberfråga, och den hanteras ofta otillräckligt av cybersäkerhetskonsulter som inte har styrningsbakgrund.
Incidentscenariot. Den dag organisationen drabbas av en allvarlig cyberincident kommer styrelsen att behöva fatta beslut under tidspress, ofta utan fullständig information, med rapporteringsskyldigheter som löper inom timmar och med kommunikationsbehov mot kunder, myndigheter, försäkringsbolag och media. Att ha förberett detta i lugn tid är värt avsevärt mer än att läsa om det i en lärobok. En realistisk genomgång av hur ett incidentscenario faktiskt utvecklas är ett av de mest värdeskapande inslagen i en styrelseutbildning.
Innehåll utöver dessa fem är välkommet men inte tillräckligt utan dem. En utbildning som täcker hotbild och attackmetoder i detalj men inte styrelsens egen roll har missförstått sin uppgift. En utbildning som täcker NIS2 och AI-akten regulatoriskt men inte tillämpar dem på den specifika organisationen är abstrakt på ett sätt som inte gör styrelsen mer kompetent som tillsynsutövare.
Hur utbildningen ska designas för att hålla vid granskning
Innehåll är hälften av frågan. Form är den andra. En utbildning som täcker rätt innehåll men är dåligt designad är fortfarande sårbar för kritik. Sex principer styr designen av en utbildning som faktiskt är försvarbar.
Anpassning till den specifika organisationen. En generisk utbildning som hade kunnat hållas för vilken styrelse som helst är per definition inte den utbildning som denna styrelse behöver. Anpassningen ska synas i materialet: exempel från den egna verksamheten, riskscenarier som speglar de faktiska digitala beroendena, kontroller som faktiskt finns på plats, sårbarheter som faktiskt har identifierats. En externt levererad utbildning bör därför föregås av en kortare diagnosfas där leverantören sätter sig in i den specifika organisationen.
Tillräcklig tid. En halvdag är minimum för en seriös utbildning, och även det är knappt. En heldag är mer realistiskt. Komprimerade format under två timmar kan vara värdefulla som påfyllning eller specifik fördjupning, men de räcker inte som primär utbildning. Tidpunktsmässigt bör utbildningen ligga separerat från ordinarie styrelseärenden, inte som en punkt på dagordningen.
Aktiva inslag, inte enbart föreläsning. En utbildning som består av PowerPoint-presentationer med frågor på slutet ger sämre kvarvarande kunskap än en utbildning som tvingar deltagarna att fatta beslut under simulerade förhållanden. Det enskilt mest värdefulla aktiva inslaget är ett incident tabletop-scenario där styrelsen får agera under realistisk tidspress. Det blottlägger snabbt om styrelsen vet vad den ska göra, och om den vet det den behöver veta för att göra det.
Dokumenterat innehåll och deltagande. Vilka deltog? Hur länge? Vilket material gicks igenom? Vilka frågor restes? Vilka eventuella åtgärder identifierades som behöver följas upp? Dokumentationen behöver inte vara omfattande, men den behöver finnas. En utbildning utan dokumentation kan vara svår att styrka vid en senare granskning.
Återkommande, inte engångs. Cybersäkerhetslandskapet förändras snabbt. Regelverk uppdateras, hotbilden förändras, organisationens egen verksamhet utvecklas. En utbildning från 2024 är 2027 inte längre aktuell. Som rekommenderad praxis, inte lagkrav, är en cykel på 12 till 18 månader för fullständig styrelseutbildning, med kortare uppdateringar däremellan, en rimlig grundtakt. Ny styrelseledamot bör få introduktionsutbildning inom rimlig tid efter tillträdet.
Lämplig leverantör med dokumenterad kompetens. Vem som håller utbildningen påverkar dess trovärdighet. En extern leverantör med specifik kompetens inom både cybersäkerhet och bolagsstyrning är ofta att föredra framför antingen den egna CISO-funktionen (som riskerar att hamna i pedagogiskt underläge mot styrelsen, eller att försvara sin egen verksamhet snarare än att utbilda) eller en generisk cybersäkerhetsleverantör (som ofta saknar governance-perspektiv). En blandning, där intern och extern kompetens kombineras, fungerar ofta bäst.
Vad utbildningen inte ska vara
Lika viktigt som vad utbildningen ska innehålla är vad den inte ska försöka vara.
Den ska inte vara en teknisk djupdykning. En styrelseledamot behöver inte förstå hur en attack på en webbapplikation tekniskt fungerar för att utöva tillsyn över organisationens skydd mot sådana attacker. Att försöka göra styrelsen tekniskt kompetent missar dess faktiska roll, och utbildningen tappar fokus.
Den ska inte vara en återgivning av regelverkstexter. Att läsa NIS2-direktivet eller AI-akten paragraf för paragraf är inte styrelseutbildning, det är juridisk grundkurs. Styrelsen behöver förstå konsekvenserna av regelverken för den egna organisationen, inte regelverkens fullständiga innehåll.
Den ska inte vara en marknadsföringspresentation för en cybersäkerhetsleverantör. När leverantören har kommersiella incitament att presentera vissa lösningar som svar på vissa problem blir utbildningen sårbar för bias. Detta talar för att en utbildning som ska användas som compliance-artefakt bör levereras av en oberoende part, inte av en leverantör med kommersiellt intresse i de tekniska lösningarna som diskuteras.
Den ska inte vara en avbockningsövning. En styrelseutbildning vars enda syfte är att kunna skriva i protokollet att den har skett är ett spel som regulatorer och granskare har lärt sig genomskåda. En bristfällig utbildning riskerar att ge en falsk bild av organisationens faktiska mognad och kan vara svår att åberopa som stöd för att styrelsen utövat ett aktivt ansvar.
Marknaden av leverantörer: vad styrelsen bör fråga efter
Eftersom marknaden för styrelseutbildning i cybersäkerhet växer snabbt, växer också utbudet. Många leverantörer är seriösa och kompetenta. Andra positionerar standardiserade kurser som anpassade utbildningar utan att i praktiken anpassa något. Ett antal frågor är värda att ställa till en potentiell leverantör innan upphandling:
Vem håller utbildningen, och vilken är personens kombinerade kompetens inom cybersäkerhet och bolagsstyrning? En leverantör som inte kan namnge en specifik person, eller där personen saknar erfarenhet på en av sidorna, är att se över.
Hur ser anpassningsfasen ut? Vilken information samlas in om vår organisation innan utbildningen? Om svaret är “vi använder vårt standardupplägg” är det inte den utbildning som beskrivs i denna text.
Vad innehåller den dokumentation som vi får efter utbildningen? Om svaret är “ett intyg” är det otillräckligt.
Finns ett incident tabletop-inslag, eller bygger utbildningen helt på presentationer? Det är inte en absolut nödvändighet, men frånvaron är ett varningstecken.
Hur ser leverantörens egen uppfattning om återkommande utbildning ut? En leverantör som beskriver utbildningen som en engångsinsats har inte förstått dess roll.
Vilka referenser kan leverantören uppvisa, och kan dessa referenser bekräfta att utbildningen anpassades till deras specifika verksamhet?
Dessa frågor filtrerar snabbt ut leverantörer som säljer produkter snarare än substans.
Styrelseutbildning som strategisk investering
Det är värt att avsluta med en omformulering av frågan. En styrelseutbildning i cybersäkerhet är inte primärt en kostnad att hålla låg, en compliance-aktivitet att klara av, eller en formalitet att avbocka. Den är ett av få operativa tillfällen då hela styrelsen, samlad och fokuserad, får möjlighet att tillsammans bygga den gemensamma förståelse som krävs för att utöva meningsfull tillsyn över en av organisationens väsentligaste risker.
Det är en investering i styrelsens egen kapacitet. Den dag en allvarlig incident inträffar, eller den dag en regulator ställer frågor, eller den dag en stor kund vill veta hur ni styr cybersäkerhet, är det den investeringen som visar sig vara värdefull eller saknad. Att göra den ordentligt en gång är väsentligt mer värdefullt än att göra den lätt och ofta.
För styrelsen själv är frågan därför inte i första hand “klarade vi av detta?” utan “vet vi nu något vi inte visste innan, och kan vi använda det i vår faktiska tillsyn?” Om svaret på den frågan är ja, har utbildningen gjort sitt jobb. Om svaret är nej, oavsett hur välproducerad presentationen var, har den inte det.