Mange virksomheter investerer i risikoberedskap og hendelseshåndtering, men står likevel dårlig forberedt når krisen kommer. En undersøkelse fra World Economic Forum og McKinsey i 2025 satte tall på det: 84 % av toppledere mener de ikke er godt nok forberedt på framtidige avbrudd — særlig når det gjelder evnen til å håndtere kriser og til å snu strategien under press.

Test hvor godt styret og ledelsen styrer beredskapen

Start nå →

To eksempler viser hva dette betyr i praksis, ett fra offentlig sektor og ett fra privat.

Granskingen som delstatsadvokaten (Attorney General) i Hawaii gjennomførte etter skogbrannene i Lahaina i 2023 – 102 døde og skader for seks milliarder dollar – avdekket en oppdelt kommandostruktur, et fragmentert situasjonsbilde og en koordineringsinfrastruktur som ikke var på plass da den ble trengt. Sjefen for Maui Emergency Management Agency gikk av.

For det andre, da Sør-Koreas massive datainnbrudd avslørte 33,7 millioner Coupang-kundekontoer, trakk administrerende direktør seg og uttalte: «Jeg beklager dypt at jeg skuffet offentligheten […]. Jeg føler et dypt ansvar for utbruddet og den påfølgende gjenopprettingsprosessen.»

Konsekvensene for ledelsen personlig er ikke lenger abstrakte. Over hele Europa gjør NIS2 artikkel 20 ledelsesorganer personlig ansvarlige for overtredelser, med bøter på opptil 10 millioner euro eller to prosent av den globale omsetningen og muligheten for midlertidige utestengelser fra lederstillinger. DORA, som har vært i kraft siden januar 2025 , pålegger finansielle tjenester tilsvarende forpliktelser. Storbritannias Senior Managers and Certification Regime etablerer en lovfestet «ansvarsplikt»: mens den juridiske bevisbyrden ligger hos regulatoren, må navngitte individer være praktisk forberedt på å demonstrere og dokumentere at de tok rimelige skritt.

Håndhevingen er ikke lenger bare ord i et direktiv. Tyske BSI sendte formelle varsler til 47 virksomheter i fjerde kvartal 2025 etter den nasjonale gjennomføringen av NIS2. Spørsmålet ledergruppene nå får, er ikke om beslutninger ble tatt. Det er om de var informerte, rettidige og forsvarlige – og om dokumentasjonen beviser det.

Der beredskapen ikke holder

Mange virksomheter investerer i beredskap, men klarer likevel ikke å håndtere hendelser godt når de først oppstår. I 2026 rapporterte det britiske finanstilsynet FCA at kommunikasjonsplanene i flere virksomheter «fantes på papiret, men ikke var øvd», og at det derfor var lite grunn til å tro at de ville begrense skaden under en reell hendelse. En undersøkelse blant amerikanske toppledere i 2026 viste samme mønster: respondentene beskrev virksomhetens kriseplanlegging som proaktiv — samtidig som de rapporterte økonomiske tap etter et nylig avbrudd.

Det er påfallende at en Deloitte-undersøkelse blant styringspersonell fra fjerde kvartal 2025 fant at bare 15 % av styrene i børsnoterte selskaper hadde deltatt i scenarioplanlegging eller bordøvelser , og nesten en tredjedel hadde ingen formelt definert styrerolle i forberedelsene til krisehåndtering.

God beredskap krever mer enn planer og rammeverk. Forventningen fra regulatorisk side er nå tydelig: godkjenn, følg opp, stå ansvarlig for resultatet. Det betyr at ledelsen må styre beredskap som en løpende evne i virksomheten, ikke som en oppgave som er delegert bort til noe går galt.

Styring: ledelsens rolle i beredskapen i dag

Beredskap er styringsarbeid som pågår hele tiden. Det krever at ledelsen holder koordinering og ansvar samlet på tvers av hele beredskapsnettverket. Tabellen under viser hvordan denne styringen endrer seg, og hva det betyr for ledere.

Dimensjon	Gammel styringsmodell	Gjeldende styringskrav
Lederrolle	Ledelsen delegerer den operative beredskapen og trår inn igjen når noe eskalerer.	Ledelsen styrer beredskapsevnen og beslutningsevnen løpende.
Ansvar	Ansvaret ligger først og fremst hos virksomheten.	Navngitte ledere må vise at beslutningene var informerte og forsvarlige.
Hva beredskap måles på	Beredskap dokumenteres med planer, rammeverk og etterlevelsesarbeid.	Beredskap dokumenteres med evne som er øvd, og med målbare resultater i virksomheten.
Ledelsens situasjonsbilde	Ledelsen får oppsummerte oppdateringer gjennom de operative leddene.	Ledelsen trenger et direkte, rolletilpasset situasjonsbilde mens beslutningsvinduet er åpent.
Beslutningsinfrastruktur	Koordineringen i toppledelsen skjer via telefonmøter, orienteringer og fragmentert rapportering.	Ledelsens vurderinger støttes av integrert sanntidsinformasjon fra driften, med full sporbarhet.
Øvelser	Øvelser validerer planer med jevne mellomrom.	Øvelser avdekker svakheter i styringen løpende og bygger evne i virksomheten.
Sporbarhet	Loggen rekonstrueres i etterkant.	Styringsdokumentasjonen blir til automatisk mens hendelsen pågår.
Risikomiljø	Hendelser behandles som isolerte driftshendelser.	Flere samtidige avbrudd gir styringsutfordringer for hele virksomheten.

De svakhetene som betyr mest, er sjelden de virksomheten venter. En egenvurdering viser hvilke mangler som må rettes, og hvor det er rom for forbedring.

Beredskap som god praksis

Da løsepengeviruset LockerGoga rammet Norsk Hydro i mars 2019, var omfanget uten sidestykke: 170 anlegg, 35 000 ansatte, drift i 40 land. Det som skilte Hydros håndtering fra andres, var ikke hvor raskt teknikken kom opp igjen, men kvaliteten på styringen. Ledelsen hadde avklart roller og ansvar før krisen kom. Beslutningslinjene var tydelige. Og fra de første timene valgte konsernledelsen full åpenhet — overfor ansatte, investorer, kunder og offentligheten — framfor å lukke seg og styre fortellingen.

Slik oppsummerte Halvor Molland, SVP Communication and Public Affairs, det på RAYVN Symposium i 2023: «Åpenhet er kjernen i kulturen i Norsk Hydro. Vi ønsket å hjelpe andre bransjer med å lære av erfaringen vår.» Lærdommene han pekte på, var praktiske:

beredskapsplaner som holdt driften i gang
en kommunikasjonsinfrastruktur som holdt under vedvarende press
og disiplinen til å holde fast på ansvaret hele veien

I dag blir selskapets respons ofte sitert som et positivt eksempel på kriseledelse.

Hvordan styring og beredskap henger sammen

Virksomheter som presterer under press, behandler beredskap som en sammenhengende syklus: planlegging og forberedelse, håndtering, gjenoppretting og en evaluering i etterkant som faktisk fører til forbedring.

Toppledelsens rolle gjennom denne syklusen er ikke operativ. Den er ansvar, oppfølging og inngripen når situasjonen krever det. Det forutsetter reell innsikt i hvert ledd:

nok kjennskap til øvingsprogrammet til å vite om det faktisk bygger evne;
nok situasjonsforståelse under en live-hendelse til å handle innenfor beslutningsvinduet i stedet for etter den ;
nok engasjement i evalueringen til å sikre at lærdommen faktisk føres tilbake i neste planleggingsrunde, i stedet for å bli liggende i en rapport ingen følger opp.

PwCs Global Crisis and Resilience Survey peker på eierskap i toppledelsen som det første strukturelle kravet til et velfungerende program for motstandsdyktighet — men bare en tredjedel av slike programmer har konsernsjefen som eier. Styringstabellen over forklarer hvorfor. En lederrolle som først trår inn når noe eskalerer, er ikke eierskap. Det er håndtering. De to er ikke det samme, og når de blandes sammen, ender virksomheter opp med beredskapsprogrammer som har støtte på toppen på papiret og ingen reell eier.

For toppledelsen betyr infrastrukturen som tetter dette hullet:

øyeblikkelig varsling når en hendelse er rapportert
umiddelbar situasjonsforståelse uten å vente på en filtrert orientering,
en tidsstemplet logg over alle beslutninger og handlinger tatt som det skjer.
Tilpassede rapporter for styrings-, regulatoriske og styremedlemmer genereres fra live-rapporten i stedet for å bli rekonstruert etterpå.
En hierarkisk oversikt over alle aktive hendelser, med mulighet for å veksle mellom dem, betyr at oversikt over hele responsnettverket er umiddelbar.
Og når hendelsen er avsluttet, brukes den komplette registreringen direkte i gjennomgangen etter hendelsen – grunnlaget for neste planleggings- og forberedelsessyklus.

Kravene til styring og ansvar i toppledelsen fortsetter å øke. De virksomhetene som bygger motstandsdyktighet, blir de som bygger infrastrukturen og driver fram god praksis av eget initiativ.

Fordi hver eneste beslutning betyr noe.

Vanlige spørsmål om beredskap og styring

Er styremedlemmer personlig ansvarlige i henhold til NIS2?

Ja. NIS2 artikkel 20 gjør ledelsesorganer personlig ansvarlige for overtredelser, med bøter på opptil 10 millioner euro eller to prosent av den globale omsetningen og muligheten for midlertidige utestengelser fra lederstillinger. DORA, som har vært i kraft siden januar 2025, pålegger tilsvarende forpliktelser for finansielle tjenester. I Storbritannia etablerer Senior Managers and Certification Regime en lovfestet ansvarsplikt: den juridiske bevisbyrden ligger hos regulatoren, men navngitte personer må kunne demonstrere og dokumentere at de tok rimelige skritt.

Hva er styrets rolle i forberedelsene til krisehåndtering?

Å styre beredskapskapasitet og beslutningsberedskap kontinuerlig, i stedet for å delegere det og gjenoppta ansvaret når noe eskalerer. Det betyr å godkjenne det, føre tilsyn med det, være ansvarlig for resultatet og kjenne øvelsesprogrammet godt nok til å bedømme om det bygger reell kapasitet. En Deloitte-undersøkelse av styringsfagfolk i fjerde kvartal 2025 fant at bare 15 % av styrene i børsnoterte selskaper hadde deltatt i scenarioplanlegging eller bordøvelser, og nesten en tredjedel hadde ingen formelt definert styrerolle i forberedelsene til krisehåndtering.

Hvordan beviser man at en krisebeslutning var informert og forsvarlig?

Med en oversikt generert under hendelsen i stedet for rekonstruert etter den. Spørsmålet ledergruppene nå står overfor er ikke om beslutningene ble tatt, men om de var informerte, rettidige og forsvarlige, og om oversikten beviser det. I praksis betyr det en tidsstemplet logg over hver beslutning og handling mens den skjer, hvorfra rapporter for styring, regulatoriske og styremedlemmer kan produseres direkte i stedet for å settes sammen fra minnet.

Hvorfor sliter fortsatt organisasjoner med kriseplaner under reelle hendelser?

Fordi en plan ikke er det samme som en utøvd kapasitet. I 2026 rapporterte FCA at noen firmaers kommunikasjonsplaner eksisterte på papiret, men ikke hadde blitt testet, noe som begrenset tilliten til at de ville redusere skade under en reell hendelse. En undersøkelse fra World Economic Forum og McKinsey i 2025 fant at 84 % av lederne føler seg underforberedt på fremtidig forstyrrelse, spesielt innen krisehåndteringskapasitet og strategisk omorientering under press.