Hvert sikkerhedsdokument bør have én navngiven ejer, som holder det opdateret, og en tydelig godkender, som afhænger af dokumentets niveau. Politikken ejes typisk af direktøren og godkendes af direktionen eller bestyrelsen. Retningslinjerne ejes af CISO’en eller den, der har ansvaret for området, og godkendes af direktøren. Procedurerne ejes af dem, der udfører dem, ofte IT-leverandøren. Til hvert dokument hører et versionsnummer, en dato og et spor af, hvem der godkendte hvad. Så kan virksomheden vise, hvilke regler der gjaldt på en bestemt dag.
Hvorfor ejerskab er nødvendigt
Et dokument uden ejer forælder. Ingen opdaterer det, når en leverandør skiftes ud, et system lukkes eller en ny regel indføres. Efter to år beskriver det en virksomhed, der ikke findes længere, og medarbejderne holder op med at stole på det.
Ejerskab afgør også, hvem der må rette i teksten, et spørgsmål der melder sig ved hver ændring. Når det er afklaret, kan ændringer ske hurtigt og uden, at nogen er i tvivl om, hvorvidt den nye version gælder.
Ejer og godkender er to roller
Ejeren holder dokumentet ved lige. Ejeren skriver ændringerne, hører dem, der berøres, og tager dokumentet op, når datoen for gennemgang nærmer sig. Godkenderen beslutter, om ændringen kan træde i kraft.
For de fleste dokumenter er det to forskellige personer. CISO’en kan eje retningslinjen for adgangsstyring, mens direktøren godkender den. IT-leverandøren kan eje proceduren for oprettelse af brugere, mens CISO’en godkender, at den lever op til retningslinjen. Fordelingen kan følge det hierarki, der er beskrevet i politik, retningslinjer og procedurer.
Hos virksomheder under NIS2-loven ligger godkendelsen af selve foranstaltningerne hos ledelsesorganet, jf. § 7, stk. 1. Hvilke dokumenter ledelsesorganet selv skal godkende, og hvordan godkendelsen dokumenteres, står i ledelsen skal godkende og føre tilsyn. Her handler det om, hvordan resten af samlingen holdes i orden.
En enkel fordeling
En virksomhed med en ekstern CISO og ekstern drift kunne fordele ansvaret sådan.
- Informationssikkerhedspolitik. Ejer er direktøren, CISO’en skriver udkastet, og direktionen eller bestyrelsen godkender.
- Retningslinjer for de enkelte områder. Ejer er CISO’en eller den interne områdeansvarlige, og direktøren godkender.
- Procedurer hos IT-leverandøren. Ejer er leverandøren, og CISO’en godkender, at de passer med retningslinjerne.
- Interne procedurer, fx fratrædelse og betalinger. Ejer er den afdeling, der udfører dem, fx HR eller økonomi.
- Registre. Risikoregistret og undtagelseslisten ejes af CISO’en, leverandøroverblikket af den, der ejer leverandøraftalerne.
Fordelingen behøver ikke være perfekt fra start. Det vigtigste er, at hvert dokument har et navn ud for sig, og at navnet bliver opdateret, når en person skifter job eller en leverandør udskiftes. En ekstern CISO kan godt eje dokumenter, men bør aldrig være den eneste, der har adgang til dem. Stopper samarbejdet, skal dokumenterne og historikken blive i virksomheden.
Versioner og godkendelsesspor
Hvert dokument bør have en lille boks øverst med fire oplysninger: versionsnummer, dato for godkendelse, navnet på godkenderen og dato for næste gennemgang. Nederst eller i et separat ark står en ændringslog med en linje pr. version om, hvad der er ændret.
Tidligere versioner gemmes et sted, hvor de ikke kan forveksles med den gældende. Formålet er at kunne vise, hvad der gjaldt på et bestemt tidspunkt. Det spørgsmål kommer ved et tilsyn, ved en kundeaudit og efter en hændelse, hvor forsikringsselskabet vil vide, hvilke regler der var på plads. Styrelsen for Samfundssikkerhed skriver i sin vejledning, at dokumentationen skal kunne gøres tilgængelig for tilsynet. Hvad der sker, når myndigheden beder om den, er beskrevet i den kompetente myndighed beder om dokumentation.
Selve godkendelsen kan være enkel. En mail fra direktøren med “godkendt” og dokumentets versionsnummer, gemt sammen med dokumentet, er bedre end en underskrift, ingen kan finde. Godkendelser i direktionen eller bestyrelsen skrives ind i referatet med versionsnummer.
Dokumenter, som leverandøren ejer
Procedurer hos IT-leverandøren er en særlig udfordring. De ligger i leverandørens systemer, og de kan ændres uden, at virksomheden får besked. Derfor bør aftalen med leverandøren indeholde tre ting: at virksomheden kan få indsigt i de procedurer, der vedrører den, at væsentlige ændringer meddeles, og at procedurerne udleveres, hvis aftalen ophører. Hvordan sådanne krav formuleres, står i sikkerhedskrav til jeres IT-leverandør.
Det skal I lade være med
- At lade “IT” stå som ejer. Ejeren skal være en navngiven person eller en bestemt rolle.
- At overskrive den gamle version. Så kan I ikke vise, hvad der gjaldt før.
- At gemme godkendelsen et andet sted end dokumentet. Den skal kunne findes på et minut.
- At lade den eksterne CISO være eneste person med adgang. Dokumenterne er virksomhedens.
- At glemme leverandørens procedurer. De er en del af jeres samling, også når de ligger hos andre.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne indføre en ordning, der ikke kræver et nyt system, og som virker efter samarbejdets afslutning.
- ☐ En liste over alle sikkerhedsdokumenter med ejer, godkender og dato for næste gennemgang.
- ☐ En fast boks med versionsoplysninger øverst i hvert dokument.
- ☐ En ændringslog for hvert dokument.
- ☐ Et arkiv over tidligere versioner, som virksomheden selv har adgang til.
- ☐ Aftale med IT-leverandøren om indsigt i og udlevering af procedurer.
- ☐ Overdragelse af alle dokumenter og al historik, hvis samarbejdet ophører.
Sådan kommer I i gang
Lav en liste over de sikkerhedsdokumenter, I har, og skriv ejer og godkender ud for hvert. Hvor feltet står tomt, skal ledelsen udpege nogen. Tilføj versionsboksen, næste gang hvert dokument ændres. Hvornår dokumenterne skal tages op, er beskrevet i hvor ofte sikkerhedspolitikkerne skal gennemgås, og hvordan dokumentarbejdet holdes i en passende størrelse, står i ISMS i en mindre virksomhed.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7, stk. 1, om ledelsesorganets godkendelse af foranstaltningerne.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025: dokumentation skal kunne gøres tilgængelig for tilsynet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsen skal godkende og føre tilsyn · Hvor ofte skal sikkerhedspolitikkerne gennemgås?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
