En ekstern CISO refererer i de fleste mindre og mellemstore virksomheder til den administrerende direktør. Direktionen leder den daglige drift, også når det gælder gennemførelsen af sikkerhedsarbejdet, og det er direktøren, der kan prioritere ressourcer og træffe beslutninger på tværs af afdelinger. Ud over den daglige linje bør der være en aftalt adgang til bestyrelsen, typisk ved den årlige gennemgang og i situationer, hvor CISO og direktion er uenige om en væsentlig risiko. Referencelinjen skal stå i mandatet, så alle ved, hvem der må give CISO opgaver, og hvem CISO kan gå til.
Hvorfor referencelinjen betyder noget
En CISO skal kunne sige ubehagelige ting. Det kan være, at et prioriteret projekt indebærer en risiko, at en leverandør ikke lever op til aftalen, eller at budgettet ikke rækker til det, ledelsen har besluttet. Refererer CISO til en person, der selv er ansvarlig for det område, der kritiseres, bliver budskabet let blødt op på vejen.
Det er grunden til, at mange anbefaler at holde CISO adskilt fra den, der står for IT-driften. Den, der leverer driften, har en naturlig interesse i, at driften ser godt ud. Hvordan den interessekonflikt opstår i forholdet til IT-leverandøren, er beskrevet i når driftsleverandøren også skal være CISO.
De mulige linjer
I praksis er der fire måder at placere en ekstern CISO på:
- Til den administrerende direktør. Den mest almindelige og oftest den bedste i mindre virksomheder. Direktøren har det samlede overblik og kan handle.
- Til økonomidirektøren eller økonomichefen. Ses, når økonomifunktionen også har ansvaret for IT. Kan fungere, men kræver, at sikkerhed ikke reduceres til et budgetspørgsmål.
- Til IT-chefen. Giver kort vej til driften, men svækker uafhængigheden, fordi CISO skal vurdere det arbejde, IT-chefen er ansvarlig for.
- Direkte til bestyrelsen. Sjældent hensigtsmæssigt som daglig linje, fordi bestyrelsen ikke leder den daglige drift. Kan være relevant som supplerende linje.
Uanset valget bør CISO have adgang til direktøren, når der er brug for det, og en kendt vej til bestyrelsen.
Den supplerende linje til bestyrelsen
Efter selskabsloven har direktionen den daglige ledelse, mens bestyrelsen har den overordnede ledelse og et ansvar for, at selskabet har de fornødne procedurer for risikostyring. For NIS2-omfattede virksomheder kommer ledelsesorganets pligt efter NIS2 til at godkende foranstaltningerne og holde øje med gennemførelsen, som beskrevet under NIS2 og ledelsens ansvar. Begge dele taler for, at bestyrelsen har mulighed for at høre CISO’s vurdering uden filter.
En praktisk ordning er, at CISO deltager i bestyrelsens årlige gennemgang af sikkerheden, og at mandatet beskriver, hvornår CISO kan bede om at få et forhold forelagt bestyrelsen. Det kan være ved en alvorlig hændelse eller ved uenighed med direktionen om en risiko, der vurderes som væsentlig. Ordningen skal være kendt af direktionen på forhånd, så den ikke opleves som at gå bag om nogen. Hvordan bestyrelsen arbejder med punktet, er gennemgået i cybersikkerhed som fast punkt på bestyrelsesmødet.
Uafhængighed kræver mere end en ekstern kontrakt
En ekstern CISO har en fordel i forhold til en ansat: Personen er ikke afhængig af en karriere i virksomheden og kan lettere sige fra. Fordelen forsvinder, hvis den eksterne har økonomiske bånd til de leverandører, der skal vurderes. Spørg derfor til provision, partnerskaber og forhandleraftaler, før samarbejdet indgås. En ordentlig rådgiver kan svare nej til alle tre og får ikke del i det, I køber hos andre.
Uafhængigheden bør også vise sig i rapporteringen. Står der i referatet, at CISO har anbefalet noget, som direktionen har valgt ikke at følge, er det et tegn på, at linjen virker. Det giver bestyrelsen et ærligt billede at træffe beslutninger på.
Et eksempel
I produktionsvirksomheden med 40 ansatte refererer den eksterne CISO til direktøren og mødes med hende en gang om måneden. Driften ligger hos en ekstern leverandør, som CISO følger op på. Ved et review viser det sig, at leverandøren i et halvt år ikke har afprøvet gendannelse af backup. Direktøren beslutter at give leverandøren en frist. Fristen overskrides. CISO lægger sagen frem på næste bestyrelsesmøde efter aftale med direktøren, og bestyrelsen beslutter at bede om et oplæg til, hvad et leverandørskifte vil kræve. Linjen virkede, fordi den var aftalt på forhånd.
Koncerner og ejerledede virksomheder
To situationer kræver særlig omtanke. I en koncern kan det være uklart, om CISO refererer til datterselskabets direktør eller til koncernledelsen. Svaret afhænger af, hvor beslutningerne om IT og sikkerhed træffes, og hvem der står til ansvar for dem. Ofte er den bedste løsning en daglig linje til den lokale direktør og en aftalt rapportering til den, der har sikkerhedsansvaret i koncernen. I en ejerledet virksomhed, hvor direktøren også er bestyrelsesformand og hovedaktionær, er der reelt kun én person at referere til. Her kan et eksternt bestyrelsesmedlem være den uafhængige modtager, når CISO har et forhold, der skal frem. Uanset struktur bør mandatet nævne, hvem den supplerende modtager er.
Det skal I lade være med
- At lade CISO referere til den, der står for driften · så vurderer driften i praksis sig selv.
- At give flere personer ret til at bestille opgaver · CISO ender med modstridende prioriteter og ingen klar chef.
- At skjule uenighed for bestyrelsen · uenighed om en væsentlig risiko er netop det, bestyrelsen skal kende til.
- At lade linjen være uskreven · den bliver først prøvet, når der er pres på, og så er det for sent at aftale den.
Det skal I kræve af den eksterne
- ☐ Accept af en skriftlig referencelinje til en navngiven person i direktionen.
- ☐ Erklæring om bindinger til leverandører, herunder provision og partnerskaber.
- ☐ Vilje til at fremlægge for bestyrelsen efter den aftalte ordning.
- ☐ Rapportering, der også viser anbefalinger, som ikke er fulgt.
- ☐ Respekt for direktionens daglige ledelse, så den supplerende linje bruges efter aftalen.
Næste skridt for direktionen
Skriv referencelinjen og adgangen til bestyrelsen ind i CISO’s mandat, og få bestyrelsesformanden til at kende ordningen. Hvilke beslutninger CISO i øvrigt må træffe, fremgår af artiklen om CISO’s mandat. En bredere gennemgang af beslutningskompetence for alle eksterne IT-roller findes på ekstern-it-ledelse.dk under mandat og beslutningskompetence. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025 (retsinformation.dk): § 115 om bestyrelsens overordnede ledelse og § 117 om direktionens daglige ledelse.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om ledelsesorganets pligter over for foranstaltningerne.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsrapport til bestyrelsen · Hvad er CISO as a Service?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
