Opbygningen bliver færdig, mens vedligeholdet fortsætter, så længe virksomheden bruger IT. Når risikovurderingen, politikkerne, leverandørkravene og beredskabsplanen er på plads, er den tunge del overstået, og arbejdet går over i en fast rytme med kortere opgaver, der gentages. Rytmen er nødvendig, fordi virksomheden, leverandørerne og truslerne ændrer sig hele tiden. Styrelsen for Samfundssikkerhed beskriver i vejledningen “Cyberforsvar der virker” et effektivt cyberforsvar som en løbende proces, der hele tiden skal evalueres og forbedres. For ledelsen betyder det, at indsatsen falder efter opbygningen, men aldrig når nul.
Opbygning og vedligehold er to forskellige faser
Opbygningen har en start, en plan og en slutning. Den består af opgaver, der kun skal løses én gang eller sjældent: at kortlægge systemer og leverandører, at lave den første risikovurdering, at skrive og godkende politikker, at indføre flerfaktor-login, at få sikkerhedskrav ind i leverandøraftalerne og at lave en beredskabsplan.
Vedligeholdet er det, der holder resultatet i live. Det består af gentagne opgaver med fast interval: at gennemgå adgange, at teste backup, at opdatere risikovurderingen, at følge op på leverandører, at øve beredskabet og at rapportere til ledelsen. Opgaverne er mindre hver for sig, men de stopper ikke. Til gengæld bliver de lettere med tiden, fordi procedurerne er kendte, og fordi resultaterne kan sammenlignes med sidste gang.
Mange virksomheder planlægger opbygningen grundigt og glemmer at planlægge vedligeholdet. Det sker ofte, fordi opbygningen har et budget og en projektleder, mens vedligeholdet blot forudsættes at ske. Når ingen har fået opgaverne, og ingen har afsat tid, bliver de skubbet af mere presserende arbejde. Så forfalder resultatet i løbet af et par år, og en ny opbygning bliver nødvendig.
Hvorfor vedligeholdet ikke kan springes over
Fire ting ændrer sig, uanset hvor godt opbygningen blev lavet.
- Virksomheden. Nye medarbejdere, nye systemer, nye lokationer og nye forretningsområder.
- Leverandørerne. Nye aftaler, nye underleverandører, ændrede vilkår og nye tjenester i skyen.
- Truslerne. Nye metoder til svindel og nye svagheder i udbredte systemer.
- Kravene. Nye kundekrav, opdaterede standarder og ændringer i lovgivningen.
For virksomheder under NIS2-loven kommer et krav oven i. Ledelsesorganet skal føre tilsyn med, at foranstaltningerne bliver gennemført, og § 6, stk. 1, nr. 6, kræver politikker og procedurer til vurdering af foranstaltningernes effektivitet. Begge dele er løbende opgaver.
Sådan ser rytmen ud, når grundlaget er på plads
En rytme i en mindre virksomhed kan bygges op omkring fire intervaller.
- Hver måned. Status på opdateringer og åbne sager, kort opfølgning med den vigtigste leverandør.
- Hvert kvartal. Gennemgang af adgange med administratorrettigheder, status til direktionen, opfølgning på planen og på risici, der er accepteret midlertidigt.
- Hvert halve år. Gendannelsestest af backup, gennemgang af alle brugeradgange og kontrol af leverandørernes dokumentation.
- Hvert år. Opdateret risikovurdering, gennemgang af politikker, beredskabsøvelse, opfølgning på ledelsens kurser og en samlet status til bestyrelsen.
Intervallerne er et udgangspunkt og skal tilpasses jeres risici. Fordelingen over året er vist i et årshjul for sikkerhed, og intervallet for politikkerne har sin egen artikel om gennemgang af politikker.
Hvad der får vedligeholdet til at fylde mere
Rytmen er ikke altid jævn. Visse begivenheder kræver en ekstra indsats, der minder om en lille opbygning.
- Et opkøb eller en sammenlægning af afdelinger
- Et skift af driftsleverandør eller ERP-system
- En ny stor kunde med egne sikkerhedskrav
- En hændelse, der viser en svaghed
- Vækst, der bringer virksomheden ind under NIS2-loven
Ved hver af dem bør ledelsen spørge, om risikovurderingen og planen stadig holder. Det er sjældent nødvendigt at starte forfra. Som regel er det nok at vurdere den nye del, opdatere de berørte dokumenter og tilføje opgaverne til årshjulet. Hvordan en evaluering efter en hændelse omsættes til beslutninger, står i evaluering efter en hændelse.
Hvad det betyder for samarbejdet med en ekstern CISO
Opbygning og vedligehold kræver forskellige mængder tid. Opbygningen fylder mest i begyndelsen og løses ofte som et afgrænset projekt. Vedligeholdet fylder mindre, men skal ske med fast hyppighed. Hos Nielco IT indledes forløbet med en gennemgang, hvorefter samarbejdet fortsætter månedligt inden for et aftalt antal timer, mens større opgaver som opbygning af et ISMS kan køre som projekter ved siden af. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At afslutte sikkerhedsprojektet uden en plan for vedligehold. Så starter forfaldet samme dag.
- At give vedligeholdet til den, der havde tid til overs. Opgaverne kræver en ejer med mandat.
- At springe den årlige risikovurdering over, fordi intet er sket. Ændringerne sker gradvist og ses først, når nogen kigger.
- At måle vedligeholdet på, om der har været hændelser. Få registrerede hændelser kan skyldes, at ingen ser efter.
- At reagere på hver ny trussel med et nyt projekt. Vurder den først i forhold til den eksisterende plan.
Det skal I kræve af den eksterne
- ☐ En tydelig opdeling mellem opbygning med slutdato og vedligehold med fast rytme.
- ☐ Et årshjul med opgaver, intervaller og ejere.
- ☐ Status til direktionen, der viser, om de gentagne opgaver bliver udført til tiden.
- ☐ Besked, når en begivenhed kræver ekstra indsats, med forslag til omfang.
- ☐ Et realistisk skøn over tidsforbruget i vedligeholdsfasen.
- ☐ Rådgivning, som ikke påvirkes af, hvilke leverandører der får opgaverne.
Sådan kommer I i gang
Lav to lister. Den ene indeholder de opgaver, der stadig mangler i opbygningen. Den anden indeholder de gentagne opgaver, der allerede burde have en fast rytme. Sæt ejer og interval på den anden liste, og læg den ind i kalenderen. Hvordan et forløb med en ekstern CISO tilrettelægges, står under sådan forløber et samarbejde.
Kilder
- CFCS: Cyberforsvar der virker: vejledningen beskriver cyberforsvar som en løbende proces, der skal evalueres og forbedres.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 6, om vurdering af foranstaltningernes effektivitet og § 7, stk. 1, om ledelsesorganets tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tidsplanen for NIS2-arbejdet · Er en ekstern CISO mest papirarbejde?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
