Cyber Protection Officer, CISO og cyber security advisor
Cyber Protection Officer, CISO og cyber security advisor er tre titler for den person, der leder sikkerhedsarbejdet på ledelsens vegne. Forskellen ligger i vægten. CISO er den mest udbredte betegnelse for den, der ejer sikkerhedsstrategien og fører den videre til direktion og bestyrelse. Cyber Protection Officer bruges oftere, hvor beskyttelsen af systemer og data er i centrum. Cyber security advisor lyder som ren rådgivning, men kan dække det fulde ansvar, når mandatet står i aftalen. Ingen af titlerne er fastlagt i dansk lov, og derfor er det opgavebeskrivelsen, der afgør, hvad I får.
Forkortelsen CPO har tre betydninger
Når nogen skriver CPO i en IT-sammenhæng, kan det betyde Cyber Protection Officer, Company Protection Officer eller Chief Privacy Officer. Kun den første hører hjemme her. Company Protection Officer er en bred titel, som kan samle fysisk sikring, informationssikkerhed og forretningskontinuitet hos én person, og dens indhold varierer meget mellem brancher. Chief Privacy Officer er en ledelsesrolle for persondata og privatliv, og den forveksles ofte med databeskyttelsesrådgiveren.
De tre betydninger er stillet op over for hinanden på ekstern-it-ledelse.dk. Spørgsmål om persondata og databeskyttelsesrådgiveren er samlet på siden om DPO-rollen. Ingen af de tre CPO-betydninger findes som en selvstændig ydelse på dette site. Betegnelsen forklares, fordi læseren møder den i kundekrav, stillingsopslag og tilbud.
Cyber Protection Officer i sikkerhedsbetydningen
Som Cyber Protection Officer er opgaven at gøre virksomhedens systemer, data og drift i stand til at modstå angreb og nedbrud. I praksis samler rollen spørgsmål om adgangsstyring, sikkerhedskopier, opdateringer, beredskab og leverandørernes sikkerhed. Titlen ses især hos virksomheder med mange driftsleverandører, hvor nogen skal holde sammen på beskyttelsen på tværs af dem.
Det centrale spørgsmål er, om rollen beslutter eller udfører. En Cyber Protection Officer, der ejer risikovurderingen og rapporterer til ledelsen, er reelt en CISO med en anden titel. En Cyber Protection Officer, der gennemfører tiltag, som andre har prioriteret, ligger tættere på driften. Begge dele kan give mening, men aftalen skal sige, hvilken af dem I har bestilt. Rollen er beskrevet nærmere i Cyber Protection Officer: når titlen dækker sikkerhedsledelse.
CISO som ejer af sikkerhedsarbejdet
CISO er en forkortelse af Chief Information Security Officer. Den danske betegnelse er som regel informationssikkerhedschef. Rollen udarbejder sikkerhedsstrategien, leder risikovurderingen, skriver politikken, som ledelsen underskriver, og følger op på, at leverandørerne lever op til kravene. Den holder også ledelsen orienteret om risici, fremdrift og hændelser, så direktion og bestyrelse kan træffe beslutninger på et oplyst grundlag.
Købes rollen som en tjeneste, er indholdet det samme, men tiden er en del af en måned. Det kaldes CISO as a Service, vCISO eller fractional CISO, alt efter hvem der bruger ordet. Modellen er forklaret på Hvad er CISO as a Service?, og en almindelig måned med rollen er beskrevet i Hvad er en vCISO, og hvad laver den i en mindre virksomhed?.
Cyber security advisor og spørgsmålet om mandat
Titlen cyber security advisor peger på rådgivning og sparring. Mange virksomheder begynder dér, fordi de har brug for en uafhængig stemme over for IT-leverandøren. Med tiden vokser behovet ofte, så rådgiveren også skal lede arbejdet, forelægge sager for bestyrelsen og stå for opfølgningen. Så ændrer rollen karakter, og mandatet skal følge med.
Forskellen mellem en rådgiver og en ansvarlig ligger i tre forhold: hvem der fastlægger prioriteterne, hvem der har ret til at stille krav til leverandørerne, og hvem ledelsen holder ansvarlig for fremdriften. Hvordan overgangen kan håndteres, står i Fra rådgiver til ansvarlig: når advisor-rollen skal udvides.
Den interne kontaktperson er stadig nødvendig
Uanset titlen på den eksterne er der brug for en person i virksomheden, som kender hverdagen og kan handle, når den eksterne ikke er til stede. Det kan være økonomichefen, en driftsleder eller den, der i dag tager imod henvendelser fra IT-leverandøren. Personen behøver ingen sikkerhedsuddannelse, men skal have tid og ledelsens opbakning. Hvordan de to roller fordeler opgaverne, er beskrevet i Informationssikkerhedsansvarlig: hvem i virksomheden skal have titlen?.
Titlen over for kunder, forsikring og NIS2
En kunde, der beder om navnet på jeres sikkerhedsansvarlige, er sjældent optaget af titlen. Kunden vil vide, at én person har ansvaret, at personen har ledelsens mandat, og at der findes en dokumenteret proces bag svarene. Det samme gælder for forsikringsselskabet.
NIS2-loven stiller ingen krav om en bestemt titel. Loven lægger ansvaret hos ledelsesorganet, som skal godkende sikkerhedsforanstaltningerne, føre tilsyn med, at de gennemføres, og deltage i relevante kurser (§ 7). En CISO eller en Cyber Protection Officer kan forberede beslutningerne, men selve godkendelsen kan ikke flyttes ud af ledelsen. Spørgsmålet er uddybet i Kræver NIS2, at vi har en CISO?, og ledelsens pligter er samlet på NIS2 og ledelsens ansvar for cybersikkerhed.
Det skal I lade være med
- At vælge titel før opgaver · beskriv ansvaret først, og find betegnelsen bagefter.
- At bruge CPO i en aftale uden at skrive ordene ud · forkortelsen kan læses på tre måder.
- At lade en Chief Privacy Officer stå i stedet for en databeskyttelsesrådgiver · hvor der er pligt til en DPO, gælder forordningens krav til netop den rolle.
- At give en rådgiver ansvaret uden at ændre mandatet · så står ingen reelt med beslutningerne.
- At regne med, at titlen dækker et kundekrav · kunden vurderer indholdet og dokumentationen.
Det skal I kræve af den eksterne
- ☐ En skriftlig beskrivelse af, hvad rollen beslutter, hvad den rådgiver om, og hvad den ikke rører.
- ☐ En klar referencelinje til direktionen og adgang til bestyrelsen, når sager skal forelægges.
- ☐ En beskrivelse af samspillet med IT-leverandøren og en eventuel databeskyttelsesrådgiver.
- ☐ Oplysning om økonomiske bånd til leverandører, herunder partneraftaler og provision.
- ☐ En aftalt form for rapportering, som ledelsen kan bruge i sit tilsyn.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om ledelsesorganets godkendelse, tilsyn og kurser.
- Direktiv (EU) 2022/2555 (eur-lex.europa.eu): artikel 20 om ledelsesorganer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvilket mandat skal en ekstern CISO have? · Spørgsmål og svar om ekstern CISO
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
