Det gør direktionen. Hverken CISO’en eller IT-leverandøren ejer virksomhedens risiko, og derfor kan ingen af dem afgøre en uenighed, der handler om, hvor meget risiko virksomheden skal bære. CISO’ens opgave er at beskrive uenigheden som en risiko med konsekvenser og valgmuligheder. Leverandørens opgave er at forklare sit synspunkt og hvad det vil kræve at følge CISO’ens anbefaling. Ledelsen træffer beslutningen, og den bliver skrevet ned, så alle ved, hvad der gælder.
Hvorfor uenighed er normal
En IT-leverandør har til opgave at holde systemerne kørende inden for en aftalt pris og et aftalt omfang. En CISO har til opgave at vurdere, om sikkerheden står mål med risikoen. De to opgaver trækker af og til i hver sin retning. Leverandøren ser en ændring, der koster tid og kan give driftsforstyrrelser. CISO’en ser en svaghed, der kan blive udnyttet.
Det er et sundt tegn, at uenigheden kommer frem. Den viser, at nogen kontrollerer leverandøren, og at leverandøren tør sige fra. Problemet opstår først, når uenigheden ikke bliver løst og bliver liggende. Fordelingen af ansvar mellem virksomhed og leverandør er beskrevet i ansvaret ved outsourcing.
Typiske emner for uenighed
- Opdateringer. CISO’en vil have kritiske opdateringer installeret inden for få dage. Leverandøren vil vente til næste servicevindue for at undgå nedetid.
- Administratorrettigheder. CISO’en vil begrænse antallet af konti med fulde rettigheder. Leverandøren har brug for adgang for at kunne arbejde hurtigt.
- Backup. CISO’en vil have en kopi, der er adskilt fra produktionsmiljøet og ikke kan slettes med de samme rettigheder. Leverandøren mener, den nuværende løsning er god nok.
- Dokumentation. CISO’en beder om beviser for, at aftalte kontroller udføres. Leverandøren mener, at det ligger uden for aftalen.
Sådan beskrives uenigheden som en risiko
En uenighed, der forelægges som “CISO mener A, leverandøren mener B”, er svær for ledelsen at tage stilling til. Den skal i stedet beskrives som en risiko med valgmuligheder. En god forelæggelse rummer:
- Hvad sagen handler om, i et sprog uden fagudtryk.
- Risikoen, hvis CISO’ens anbefaling ikke følges: hvad kan ske, hvor sandsynligt er det, og hvad betyder det for forretningen?
- Omkostningen ved at følge anbefalingen: tid, penge og eventuelle driftsforstyrrelser, som leverandøren har beskrevet.
- Valgmulighederne, fx at følge anbefalingen, at vælge en mellemløsning eller at acceptere risikoen for en periode.
- CISO’ens anbefaling og leverandørens synspunkt, begge med begrundelse.
Med den form kan direktionen træffe en beslutning på et enkelt møde. Det er en fordel, at leverandøren har set forelæggelsen, før den sendes til direktionen. Så kan leverandøren rette misforståelser, og direktionen kan stole på, at begge synspunkter er gengivet korrekt. Det gør også beslutningen lettere at acceptere for den part, der ikke får medhold. En fælles skala for risici er forklaret i risikovurdering på ledelsesniveau.
Eskalationsvejen
En klar vej fra uenighed til beslutning forebygger, at sager trækker ud. For en mindre virksomhed kan den se sådan ud.
- CISO og leverandørens ansvarlige forsøger at finde en løsning, typisk på det faste opfølgningsmøde.
- Den interne kontaktperson bliver orienteret, hvis der ikke er enighed efter to forsøg.
- Direktionen får sagen forelagt skriftligt som en risiko med valgmuligheder.
- Bestyrelsen orienteres, hvis beslutningen indebærer, at en væsentlig risiko accepteres, eller hvis den har betydning for NIS2-foranstaltningerne, som ledelsesorganet har godkendt.
Eskalationsvejen bør stå i CISO’ens mandat og i leverandøraftalen, så begge parter kender den på forhånd. Indholdet af mandatet er gennemgået i mandat til den eksterne CISO.
Når beslutningen er truffet
Beslutningen skrives ned med dato, begrundelse og den, der har truffet den. Hvis ledelsen vælger at acceptere en risiko, angives det, hvor længe accepten gælder, og hvornår den tages op igen. Leverandøren og CISO’en arbejder derefter ud fra beslutningen, også den af dem, der var uenig.
Et tænkt eksempel: En rådgivningsvirksomhed med 30 ansatte står med en uenighed om, hvorvidt adgangen til fjernskrivebordet skal lukkes og erstattes af en løsning med flerfaktor-login. Leverandøren peger på, at ombygningen tager en weekend. CISO’en peger på, at åben fjernadgang er en af de mest kendte angrebsveje. Direktøren beslutter ombygningen, og leverandøren får et tillæg til aftalen. Det hele står i beslutningsloggen.
Når uenigheden handler om aftalen
Nogle uenigheder handler i virkeligheden om, hvad leverandøren er forpligtet til. Leverandøren mener, at et krav ligger uden for aftalen, og CISO’en mener, at det burde være dækket. Her skal ledelsen skille to spørgsmål ad. Det første er, om tiltaget er nødvendigt ud fra risikoen. Det andet er, hvem der skal betale for det, og om aftalen skal ændres. Det første spørgsmål kan CISO’en hjælpe med. Det andet er en kommerciel forhandling, som ledelsen fører med leverandøren. Hvad aftalen fremover bør indeholde, står i kravene til IT-leverandøren.
Det skal I lade være med
- At lade uenigheden ligge. En uafklaret sag er i praksis en risiko, som ingen har accepteret.
- At give den, der råber højest, ret. Beslutningen skal bygge på risiko og omkostning.
- At lade CISO’en beslutte alene. CISO’en rådgiver; ledelsen ejer risikoen.
- At lade leverandøren beslutte alene. Leverandøren har en interesse i omfang og pris.
- At glemme at skrive beslutningen ned. Så kommer uenigheden igen om et halvt år.
Det skal I kræve af den eksterne
- ☐ En skriftlig forelæggelse med risiko, omkostning og valgmuligheder, når en uenighed eskaleres.
- ☐ Respekt for leverandørens synspunkt og en fair gengivelse af det.
- ☐ En beskrevet eskalationsvej i mandatet.
- ☐ Opfølgning på, at beslutningen bliver gennemført.
- ☐ Ingen økonomisk forbindelse til konkurrerende leverandører, der kunne farve vurderingen.
- ☐ Evnen til at sige tydeligt fra, også når det skaber gnidninger.
Første skridt
Spørg CISO’en og leverandøren hver for sig, om der er sager, de er uenige om. Bed om at få hver sag forelagt som en risiko med valgmuligheder, og tag stilling på næste direktionsmøde. Rammen for samarbejdet med leverandørerne står under leverandørstyring på sikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan IT-leverandøren også være vores CISO? · Opfølgning på leverandøren
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
