Ledelsen skal bestille et awareness-program med et klart formål, opdelt i målgrupper og med en fast rytme over året, og den skal bagefter følge med i, om medarbejderne handler anderledes. Det handler mindre om, hvor mange der har set en video, og mere om, hvor mange der melder noget mistænkeligt, og om faste regler bliver fulgt, når der er travlt. CISO-rollen skriver programmet, vælger eller styrer leverandøren af træningen og rapporterer resultatet. Ledelsen godkender formålet, afsætter tid i arbejdsdagen og deltager selv.
Hvad awareness-træning er
Awareness betyder opmærksomhed. I sikkerhedsarbejdet dækker ordet den løbende træning, der skal gøre medarbejderne i stand til at genkende risici i deres egen hverdag og vide, hvad de skal gøre. Det kan være korte forløb på nettet, oplæg på personalemøder, introduktion for nye og målrettede sessioner for bestemte funktioner.
NIS2-lovens § 6, stk. 1, nr. 7, nævner grundlæggende cyberhygiejne og cybersikkerhedsuddannelse blandt minimumskravene. Om uddannelsen skriver Styrelsen for Samfundssikkerhed (SAMSIK) i vejledningen til implementering, at virksomheden skal have en politik for uddannelse af medarbejderne, at træningen bør passe til den enkeltes jobfunktion, ske regelmæssigt og være dokumenteret, og at programmets effekt bør vurderes. Hvad der ligger i ledelsens pligt til at tilskynde til kurser, er gennemgået i NIS2 og medarbejdernes kurser.
Formålet først
Et program uden formål ender ofte som et årligt kursus, alle klikker sig igennem. Ledelsen bør derfor beslutte, hvad træningen skal ændre. Formålet bør tage udgangspunkt i risikovurderingen, så træningen rammer de risici, der faktisk truer forretningen.
I en grossistvirksomhed, hvor de største risici er falske betalingsanmodninger og misbrug af kundekonti i webshoppen, kan formålet lyde sådan:
- Medarbejderne melder mistænkelige henvendelser hurtigt og ad én vej.
- Bogholderiet følger reglen om at bekræfte ændrede kontonumre ad en anden kanal, se Direktørsvindel.
- Kundeservice giver ikke oplysninger om kundekonti ud uden at kontrollere, hvem der spørger.
Formål af den slags kan følges op i hverdagen, mens en formulering som “øget sikkerhedsbevidsthed” giver ledelsen intet at holde resultatet op imod.
Målgrupperne
Alle har brug for det samme grundlag, men nogle funktioner har brug for mere. En typisk opdeling er:
- Alle medarbejdere: de grundlæggende vaner, virksomhedens sikkerhedsregler, og hvad man gør, hvis noget er gået galt.
- Økonomi og løn: betalinger, kontonumre og henvendelser, der haster.
- Medarbejdere med administratorrettigheder: hvordan de særlige konti bruges og beskyttes.
- Nye medarbejdere: en introduktion i den første uge, før de får adgang til det hele.
- Ledelsen: dens egen rolle, også fordi direktører og bestyrelsesmedlemmer er attraktive mål.
SAMSIK nævner, at grunduddannelse kan gælde nye medarbejdere og dem, der skifter til roller med væsentligt andre krav til sikkerheden.
Rytmen over året
Træning, der kommer en gang om året, glemmes. Små og hyppige påmindelser fungerer bedre end et langt kursus. En mulig rytme er en kort introduktion ved ansættelsen, et kvarters emne hver måned eller hvert kvartal og et opslag på personalemødet, når der er sket noget, der vedkommer alle, fx en ny type svindel i branchen. Rytmen kan lægges ind i årshjulet for sikkerhedsarbejdet, så ledelsen ved, hvornår den skal forvente status.
Indholdet bør skifte i takt med truslerne. SAMSIK nævner løbende orientering om kendte trusler, tilpasset medarbejdernes roller, og træning i, hvad man gør, når der sker en hændelse, gerne med scenarier fra virksomhedens egen risikovurdering. Et scenarie kan være så enkelt som en snak om, hvad lagerlederen gør, hvis skærmen i pakkeområdet pludselig viser en besked om krypterede filer.
Tiden skal afsættes i arbejdsdagen. Hvis træningen skal klares i frokostpausen, sender ledelsen et signal om, hvor højt den prioriteres.
Hvordan ledelsen ser, om det virker
Gennemførelsesprocenten viser, at træningen er udbudt og gennemført, men siger lidt om, hvordan folk handler bagefter. CISO-rollen kan i stedet rapportere på forhold, der hænger sammen med formålene:
- Antallet af meldinger om mistænkelige henvendelser og tiden fra modtagelse til melding.
- Om betalingsreglen er fulgt i de tilfælde, hvor den er blevet sat på prøve i dagligdagen.
- Spørgsmål fra medarbejderne til IT eller CISO, før de gør noget, de er usikre på.
- Hændelser, hvor en medarbejder opdagede noget i tide.
Tallene skal læses med omtanke. Flere meldinger kan betyde, at træningen virker. Flere af den slags signaler er samlet under tegnene på sikkerhedskultur.
Det skal I lade være med
- At købe et standardkursus og regne opgaven for løst. Indholdet skal passe til jeres risici.
- At måle succes på, hvor mange der har klikket sig igennem. Det siger lidt om adfærden.
- At give alle det samme. Økonomi og administratorer har brug for mere.
- At holde ledelsen uden for. Medarbejderne lægger mærke til, hvem der deltager.
- At skræmme. Træning, der bygger på frygt, får folk til at tie om egne fejl.
Det skal I kræve af den eksterne
- ☐ Et program på en side med formål, målgrupper og rytme, knyttet til risikovurderingen.
- ☐ Et forslag til indhold for hver målgruppe og en introduktion for nye.
- ☐ Krav til leverandøren af træningen, hvis den købes ude, så indholdet kan tilpasses.
- ☐ Dokumentation af, hvem der har gennemført hvad.
- ☐ En kort status til ledelsen hvert halve år med de forhold, der viser, om adfærden ændrer sig.
Den eksterne CISO bør være fri til at anbefale den træningsleverandør, der passer bedst. Spørg, om rådgiveren har aftaler med leverandører af træning eller får provision for at pege på en bestemt løsning.
Sådan kommer I i gang
Vælg de to eller tre risici fra risikovurderingen, som medarbejderne kan gøre mest ved, og bed den eksterne CISO om at formulere formålet ud fra dem. Programmet kan derefter godkendes af ledelsen og sættes ind i årshjulet.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 7 (cyberhygiejne og cybersikkerhedsuddannelse).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 7.b om uddannelsespolitik, tilpasning til jobfunktion, regelmæssighed, dokumentation og vurdering af effekt.
Senest gennemgået: november 2026.
Næste skridt
Læs også: NIS2 og medarbejdernes kurser · Grundlæggende cyberhygiejne
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
