Det får ledelsen af en ekstern CISO
Fra en ekstern CISO bør ledelsen få en række konkrete leverancer, som den kan beslutte ud fra og vise frem: en rapport fra den første gennemgang, en risikovurdering, en prioriteret plan, en politik, et skriftligt mandat, et overblik over leverandørerne, faste rapporter, et årshjul, ledelsens del af beredskabsplanen og én samlet dokumentation til kunderne. Leverancerne er værdien af rollen, fordi de bliver i virksomheden, også når samarbejdet slutter. Listen nedenfor beskriver, hvad hver af dem skal kunne, og linker til en uddybning.
Grundlaget i de første måneder
- Rapport fra gennemgangen · et billede af, hvor I står i dag, med de vigtigste mangler sorteret efter, hvad de kan koste jer. Ledelsen skal kunne læse konklusionen på et par sider. Se Modenhedsvurdering og gap-analyse.
- Risikovurdering · de hændelser, der kan ramme forretningen, vurderet efter sandsynlighed og følger og med en navngiven ejer for hver risiko. Se Risikovurdering, som ledelsen kan træffe beslutninger på.
- Prioriteret plan · hvad der gøres først, hvem der gør det, og hvornår ledelsen hører om det igen. Indkøb står kun på planen, hvor de følger af en beslutning. Se Hvad skal vi gøre først?.
- Mandat · en skriftlig beskrivelse af, hvad CISO må afgøre selv, og hvad der altid går til direktionen. Se Hvilket mandat skal en ekstern CISO have?.
Det, ledelsen skriver under på
- Informationssikkerhedspolitik · ledelsens egne mål og principper for sikkerheden, kort nok til at blive læst. NIS2-loven kræver i § 7, at ledelsesorganet i omfattede virksomheder godkender foranstaltningerne, og politikken er det naturlige sted at starte. Se Informationssikkerhedspolitik.
- Risikovillighed · en formulering af, hvor meget ledelsen vil tåle, som gør det lettere at afgøre de enkelte sager. Se Risikovillighed.
- Risikoaccept · en skriftlig beslutning, når ledelsen vælger at leve med en risiko, med begrundelse og dato for ny vurdering. Se Hvem må acceptere en risiko?.
Overblik over leverandørerne
- Leverandøroverblik · hvilke leverandører der kan komme ind i jeres systemer eller se jeres data, hvad aftalen siger om sikkerhed, og hvornår der sidst er fulgt op. Se Overblik over leverandører med adgang til jeres data og systemer.
- Sikkerhedskrav til nye aftaler · de punkter, der skal med, næste gang en aftale indgås eller fornyes. Se Sikkerhedskrav til jeres IT-leverandør.
Rapporter og rytme
- Rapport til ledelsen · en fast oversigt, der viser fremdriften i planen, hvad der er dukket op af risici og hændelser, og hvad ledelsen skal tage stilling til. Én side til bestyrelsen er ofte nok. Se Sikkerhedsrapport til bestyrelsen.
- Årshjul · en kalender over de faste opgaver: gennemgang af politikker, opfølgning på leverandører, øvelser, kurser og fornyelse af forsikringen. Se Årshjul for sikkerhedsarbejdet i ledelsen.
- Beslutningslog · en løbende liste over, hvad ledelsen har besluttet om sikkerhed og hvorfor. Den er jeres dokumentation for, at ledelsesorganet fører tilsyn. Se Ledelsen skal godkende og føre tilsyn.
Når noget går galt
- Ledelsens del af beredskabsplanen · roller, stedfortrædere, kontaktliste og de beslutninger, der skal træffes de første timer, herunder hvem der tager stilling til underretning af myndighederne. Se Beredskabsplan: ledelsens del af planen.
- Øvelse · et par timer om bordet med et tænkt scenarie, som viser, om planen holder. Se Beredskabsøvelse for ledelsen.
Over for kunder og forsikring
- Samlet kundedokumentation · én mappe med politik, beskrivelse af foranstaltningerne og standardsvar, så hvert nyt spørgeskema ikke starter fra bunden. Se Én samling dokumentation til mange kunder.
- Kravregister · en liste over jeres sikkerhedskrav fra lovgivning, kundekontrakter og police, med en ejer for hvert. Se Ét register over lov, kunder og forsikring.
- Svar til forsikringen · svar, der stemmer med virkeligheden, så de også holder, når der anmeldes en skade. Se Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på.
Det får I ikke
En ekstern CISO leder og prioriterer arbejdet. Drift, overvågning, opsætning af systemer og test udføres af IT-leverandøren og af specialister, som CISO kan hjælpe jer med at stille krav til. Hvordan en uafhængig test bestilles og læses, er beskrevet på sikkerhedstesten.dk. Afgrænsningen er uddybet på Det dækker sitet ikke.
Det skal I lade være med
- At tage imod leverancer, I ikke kan åbne · dokumenter i udbyderens eget værktøj er svære at tage med videre.
- At godkende uden at læse · en politik, ledelsen ikke kender, beskytter hverken jer eller ledelsesorganet.
- At lade årshjulet ligge hos CISO alene · datoerne skal stå i direktionens og bestyrelsens kalender.
Det skal I kræve af den eksterne
- ☐ En liste over leverancerne og datoen for hver i det første år.
- ☐ At alle dokumenter gemmes i jeres egne systemer.
- ☐ En kort ledelsesudgave af hvert større dokument.
- ☐ At rapporten til ledelsen følger samme form hver gang, så udviklingen kan ses.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er en ekstern CISO mest papirarbejde? · Har I styr på sikkerhedsledelsen?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
