Staten har fået en plads omkring bestyrelsesbordet

Vi er nødt til at gentænke, hvad det betyder at drive en samfundsansvarlig virksomhed. I en tid med cyberangreb, hybride trusler og voksende usikkerhed kan virksomhedens beslutninger få konsekvenser langt ud over dens egen forretning. Derfor bør statens sikkerhedsinteresser have en fast plads på dagsordenen i direktioner og bestyrelser. Også i de små virksomheder.

Der sidder en ny, usynlig deltager med ved bordet, når direktioner og bestyrelser diskuterer virksomhedens fremtid.

Det er staten.

Ikke nødvendigvis som repræsentant for nye love, myndighedskrav eller kontrol. Men som en interessent, der i stigende grad har grund til at stille virksomhedens ledelse et påtrængende spørgsmål:

Hvad har I gjort for at passe på mig?

Det spørgsmål bør få os til at genoverveje, hvad vi egentlig forstår ved virksomheders samfundsansvar.

For der er efter min opfattelse ved at ske et grundlæggende skifte i forholdet mellem staten og det private erhvervsliv.

Virksomheder skal naturligvis fortsat kunne drive en sund forretning, skabe arbejdspladser og tjene penge. Men i en tid med et alvorligt sikkerhedspolitisk trusselsbillede er det ikke længere tilstrækkeligt alene at vurdere virksomhedens beslutninger ud fra dens egne interesser.

Ledelsen er også nødt til at forstå virksomhedens indvirkningen på sikkerheden i det samfund, den er en del af.

Samfundsansvar handler om mere end klima, miljø og ordentlige arbejdsforhold

I mange år har diskussionen om virksomheders samfundsansvar især handlet om miljø, klima, medarbejderforhold, etik og ansvarlig virksomhedsdrift.

Virksomheder er blevet mødt med en forventning om at tage ansvar for de konsekvenser, deres aktiviteter har for mennesker og omgivelser.

Det ansvar forsvinder ikke.

Men jeg mener, at vi skal føje en ny dimension til forståelsen af samfundsansvar: Virksomhedens medansvar for samfundets sikkerhed og robusthed.

For i dag er private virksomheder vævet så tæt ind i samfundets funktioner, at deres sårbarheder også kan blive samfundets sårbarheder.

Det gælder de store virksomheder, som driver vigtig infrastruktur og leverer samfundskritiske ydelser.

Men det gælder også de mindre virksomheder, som leverer komponenter, tjenester, viden og data til andre virksomheder eller offentlige myndigheder.

En virksomhed behøver hverken at være stor eller kendt for at spille en vigtig rolle.

Det blev illustreret i oktober 2026, da en lille virksomhed i Odense kom i centrum for en omfattende sikkerhedshændelse, hvor uvedkommende gennem virksomhedens adgang til CPR-registeret fik adgang til personoplysninger om omkring 8,8 millioner mennesker.

Her blev en privat virksomheds sikkerhedsforhold pludselig et anliggende for millioner af borgere og de myndigheder, der har ansvaret for registeret.

Den konkrete hændelse er alvorlig i sig selv. Men den illustrerer også noget langt større.

Vi har skabt et samfund, hvor næsten enhver virksomhed kan indgå i forbindelser og afhængigheder, hvis betydning først bliver tydelig, når noget går galt.

Cybertrusler handler også om tillid til samfundet

Jeg er i gang med en masteruddannelse i Intelligence and Cyber Studies ved Syddansk Universitet.

Et af de perspektiver, der har gjort særligt indtryk på mig i undervisningen, er, hvordan cyberangreb og andre hybride virkemidler kan bruges til langt mere end at stjæle oplysninger, afpresse virksomheder eller forstyrre driften.

De kan også anvendes til at skabe uro, usikkerhed og tvivl i en befolkning.

Det er ikke nødvendigvis selve nedbruddet, der er det vigtigste. Det kan være den usikkerhed, der følger.

Kan vi stole på vores vandforsyning? Er vores personlige oplysninger beskyttet? Fungerer vores kommunikationssystemer? Har myndighederne kontrol over situationen?

Når den slags spørgsmål begynder at brede sig, kan tilliden til samfundets institutioner blive udfordret.

Forsvarets Efterretningstjeneste har blandt andet beskrevet, hvordan hybride aktiviteter kan have til formål at skabe vedvarende usikkerhed og svække sammenhold og beslutningskraft i Danmark og andre lande.

I det perspektiv får private virksomheders sikkerhed en ny betydning.

De kan blive mål for angreb, ikke alene på grund af deres egen økonomiske værdi, men også på grund af deres forbindelser til andre virksomheder, myndigheder og samfundsfunktioner.

Det betyder naturligvis ikke, at alle cyberangreb har et sikkerhedspolitisk formål.

Men det betyder, at virksomhedsledelser må lære at forstå deres egne risici i en større sammenhæng.

NIS2 er ikke grænsen for samfundsansvar

Med NIS2-lovgivningen er cybersikkerhed blevet et mere direkte ledelsesansvar i en række virksomheder og organisationer inden for udvalgte sektorer.

Det er et vigtigt skridt.

Men vi begår efter min mening en fejl, hvis vi lader lovgivningens afgrænsning definere, hvilke virksomheder der skal forholde sig til samfundets sikkerhed.

Man kan godt have et samfundsansvar, selv om man ikke er omfattet af NIS2.

En mindre produktionsvirksomhed kan være underleverandør til kritisk infrastruktur. En it-virksomhed kan håndtere følsomme oplysninger. En rådgivningsvirksomhed kan have adgang til fortrolig viden. Og en ordreproducerende virksomhed kan indgå i internationale leverandørkæder, hvor dens beslutninger får betydning for langt flere end dens direkte kunder.

Det afgørende er derfor ikke kun, om virksomheden er omfattet af bestemte lovkrav.

Det er også, hvilken rolle virksomheden spiller, hvilke afhængigheder den indgår i, og hvilke konsekvenser dens handlinger eller undladelser kan få for andre.

Lovgivning fastlægger nogle af de krav, virksomheder skal leve op til.

Samfundsansvar stiller et bredere spørgsmål:

Hvad bør en ansvarlig virksomhed gøre, også når loven ikke udtrykkeligt kræver det?

Når virksomhedens interesser møder statens

Her opstår efter min mening et af de vigtigste nye spørgsmål for danske virksomhedsledelser.

Hvad gør man, når virksomhedens egne interesser ikke umiddelbart er sammenfaldende med statens sikkerhedsinteresser?

Det kan eksempelvis handle om investeringer i sikkerhed, valg af leverandører, beskyttelse af information, myndighedssamarbejde eller beslutninger om, hvilke kunder og markeder virksomheden ønsker at betjene.

I mange tilfælde vil virksomhedens og statens interesser understøtte hinanden.

Men ikke altid.

Det kan være billigere at vælge en leverandør, selv om leverandørens sikkerhedsforhold giver anledning til betænkeligheder. Det kan være kommercielt attraktivt at indgå et samarbejde, som indebærer sikkerhedsmæssige dilemmaer. Eller det kan være fristende at holde oplysninger om en sikkerhedshændelse så tæt på kroppen som muligt for at beskytte virksomhedens omdømme.

I sådanne situationer mener jeg, at ledelsen bør stille sig selv et principielt spørgsmål:

Kan vi forsvare vores beslutning, hvis den tjener virksomhedens egne interesser, men samtidig svækker væsentlige samfundsmæssige sikkerhedsinteresser?

Selvfølgelig skal man ikke give staten medløb i alle henseender.

Statens interesser er ikke nødvendigvis entydige, og virksomheder kan have både legitime forretningsmæssige hensyn og gode grunde til at udfordre myndighedernes ønsker og beslutninger.

Men statens sikkerhedsinteresser bør ikke kunne afvises alene med henvisning til, at de ligger uden for virksomhedens forretning.

Hvis en direktion eller bestyrelse bevidst vælger at tilsidesætte dem til fordel for egne særinteresser, bør den kunne fremlægge klare, velovervejede og holdbare argumenter for sit valg.

Det er efter min opfattelse en del af den dømmekraft, vi må forvente af ansvarlige virksomhedsledere.

Et nyt spørgsmål på ledelsens dagsorden

Jeg mener ikke, at alle virksomhedsledere skal være eksperter i cybersikkerhed, efterretningstjenester eller international sikkerhedspolitik.

Men ansvarlig ledelsesetik handler for mig om at erkende, at virksomhedens ansvar kan række længere end dens egne økonomiske resultater og juridiske forpligtelser.

Vi er vant til at spørge, hvordan omverdenen kan påvirke vores virksomhed.

Hvordan påvirker lovgivningen os? Hvad betyder den geopolitiske situation for vores forsyningskæder? Hvordan beskytter vi os mod cyberangreb?

Det er fortsat nødvendige spørgsmål.

Men vi skal også turde vende perspektivet om:

Hvordan kan vores virksomhed og vores beslutninger påvirke samfundets sikkerhed?

Det spørgsmål bør efter min mening høre hjemme i alle direktioner og bestyrelser. Ikke fordi alle virksomheder udgør den samme risiko, men fordi alle ledelser bør have forholdt sig til, hvilket ansvar netop deres virksomhed har.

Svaret vil være forskelligt fra virksomhed til virksomhed.

Men spørgsmålet bør ikke længere være valgfrit.

Staten har fået en plads ved bordet

Vi er på vej ind i en tid, hvor samfundsansvar også må handle om at bidrage til at beskytte de fælles funktioner, institutioner og den tillid, vores samfund bygger på.

Det er ikke et ansvar, som private virksomheder skal overtage fra staten.

Det er et ansvar, de må erkende, at de deler med den.

For virksomhedsledelse foregår ikke længere kun på markedets præmisser.

Den foregår i stigende grad også på sikkerhedspolitikkens præmisser.

Derfor mener jeg, at staten har fået en ny plads i direktions- og bestyrelseslokalet.

Ikke som en deltager, der altid skal bestemme.

Men som en interessent, hvis sikkerhedsinteresser ikke længere kan ignoreres uden en særdeles god begrundelse.

Og måske er det netop dér, vi skal begynde, hvis vi vil give begrebet samfundsansvar en betydning, der svarer til den verden, virksomhederne skal navigere i.

Med et enkelt spørgsmål til os selv:

Hvilket ansvar har vores virksomhed for sikkerheden i det samfund, vi er afhængige af?

Elisabeth Tejlmand, kommunikationsrådgiver hos Tejlmand Kommunikation og masterstuderende i Intelligence and Cyber Studies ved Syddansk Universitet.