Det giver mening at hente en CISO udefra, når virksomheden har brug for, at nogen leder sikkerhedsarbejdet, men ikke har opgaver nok til en fuldtidsstilling. CISO står for Chief Information Security Officer, den person, der har ansvaret for at styre informationssikkerheden på tværs af systemer, leverandører og medarbejdere. Behovet opstår sjældent af sig selv. Det plejer at blive tydeligt i en bestemt situation, hvor nogen udefra stiller et spørgsmål, som ingen i huset kan svare på. Denne artikel gennemgår de situationer og de tegn, der viser, at ansvaret i dag hænger i luften.
Når en kunde begynder at spørge
For mange underleverandører kommer det første skub fra en kunde. Et sikkerhedsspørgeskema lander hos salgschefen, eller en ny rammeaftale indeholder et bilag med krav til adgangsstyring, backup og hændelseshåndtering. Spørgsmålene er ikke svære at læse, men de kræver, at nogen ved, hvordan tingene faktisk er sat op, og tør stå inde for svaret.
Hvis svarene skrives af den, der har tid den pågældende uge, bliver de forskellige fra kunde til kunde. Det er et sikkert tegn på, at virksomheden mangler en ejer af sikkerheden. Temasiden om kundekrav beskriver, hvordan svarene kan samles ét sted.
Når NIS2 rammer virksomheden
Virksomheder, der er omfattet af NIS2-loven, skal registrere sig og træffe passende foranstaltninger for at styre risiciene for deres net- og informationssystemer. Loven lægger godkendelsen af foranstaltningerne og tilsynet med dem hos ledelsesorganet, og medlemmerne skal følge relevante kurser.
Loven nævner ingen CISO, men den forudsætter en ledelse, der forstår det, den godkender, og kan følge med i, om det bliver gennemført. I en mindre virksomhed er det svært uden en person, der forbereder beslutningerne og holder fast i opfølgningen. Hvad det betyder for direktion og bestyrelse, står under NIS2 og ledelsens ansvar.
Når forsikringen skal fornyes
Cyberforsikringer kommer typisk med et spørgeskema om totrinsgodkendelse, backup, opdateringer og beredskab. Ved fornyelsen opdager ledelsen ofte, at ingen helt ved, om svarene fra sidste år stadig passer. Svarene indgår i grundlaget for forsikringen, og derfor skal de være rigtige. En ekstern CISO kan samle svarene, kontrollere dem hos leverandørerne og sige til, hvor virkeligheden ikke matcher. Se cyberforsikring.
Når bestyrelsen stiller spørgsmål
En bestyrelse, der spørger “hvordan står det til med vores cybersikkerhed?”, får ofte et beroligende svar fra direktøren og en henvisning til IT-leverandøren. Det holder sjældent mere end et par møder. Før eller siden vil bestyrelsen se en vurdering af risici, en plan og en status på planen. Når direktøren ikke kan levere det uden at bruge uforholdsmæssig meget tid, er det en anledning til at hente hjælp.
Tegnene på, at ansvaret ligger hos ingen
Ud over de ydre anledninger findes der indre tegn. Prøv at se, om nogle af disse passer på jer:
- Ingen kan på stående fod sige, hvilke leverandører der har adgang til jeres data og systemer.
- Der findes en sikkerhedspolitik, men ingen ved, hvornår den sidst blev læst igennem.
- Det er uklart, hvem der beslutter, hvis et system skal lukkes ned midt i en hændelse.
- IT-leverandøren anbefaler løsninger, men ingen hos jer vurderer, om de passer til risikoen.
- Spørgsmål om sikkerhed bliver sendt videre i en kæde, der aldrig ender med et svar.
To eller flere af punkterne betyder som regel, at sikkerheden er delt mellem mange uden at være ejet af nogen.
Hvornår en ekstern løsning passer bedst
En ekstern CISO passer til virksomheder, hvor sikkerhedsledelse fylder nogle dage om måneden, men ikke en hel stilling. Det gælder især virksomheder, der bruger eksterne IT-leverandører og ikke selv har en sikkerhedsafdeling. Fordelen er erfaring fra mange forskellige miljøer og et blik, der ikke er farvet af egne systemer.
Modellen passer dårligere, når sikkerhed indgår i virksomhedens egne ydelser til kunderne, eller når der er brug for nogen til stede hver dag. Så kan en intern stilling være det rigtige, eventuelt med en ekstern i en periode, indtil stillingen er besat. Står I mellem flere roller, fx en ekstern IT-chef eller en DPO, sammenligner ekstern-it-ledelse.dk rollerne og modellerne.
Når en nøgleperson stopper
En mindre oplagt anledning er, at den medarbejder, der i praksis har holdt styr på sikkerheden, siger op. Ofte er det en IT-interesseret kollega, der har svaret på leverandørernes spørgsmål, kendt adgangskoderne til administratorkonti og vidst, hvor backuppen ligger. Når personen går, forsvinder viden, som aldrig blev skrevet ned. Ledelsen opdager, at sikkerheden hvilede på én persons hukommelse og gode vilje. Her kan en ekstern CISO samle det, der kan reddes, få adgange overdraget til de rette og lægge arbejdet ind i en struktur, der ikke afhænger af én medarbejder.
Det skal I lade være med
- At vente på den næste anledning · den næste kunde, forsikring eller lovændring kommer med kort varsel, og så er der ikke tid til at bygge grundlaget op.
- At købe et dokument i stedet for en rolle · en politik skrevet én gang løser ingen af de fire situationer ovenfor.
- At give opgaven til den mest IT-kyndige medarbejder · interesse er godt, men rollen kræver tid, mandat og erfaring med risikostyring.
- At lade IT-leverandøren give karakter til egen drift · det skaber en interessekonflikt, også når leverandøren er dygtig.
Det skal I kræve af den eksterne
- ☐ En klar beskrivelse af, hvilke af jeres anledninger der skal håndteres først.
- ☐ Dokumenteret erfaring fra virksomheder på jeres størrelse, der bruger eksterne IT-leverandører.
- ☐ En skriftlig plan efter den første gennemgang.
- ☐ Oplysning om bindinger til leverandører, forhandlere og produkter.
- ☐ En aftalt rytme for rapportering til direktion og bestyrelse.
Vælg den anledning, der presser mest lige nu, og beskriv den kort: hvem spørger, hvad spørger de om, og hvornår skal der svares? Tag beskrivelsen med, når I første gang taler med en mulig CISO udefra. Hvordan modellen er bygget op, står under Hvad er CISO as a Service?, og en konkret måned er beskrevet i Hvad er en vCISO?. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Retsinformation.dk: NIS2-loven: virksomhedernes pligt til at træffe foranstaltninger (§ 6) og ledelsesorganets pligter (§ 7).
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fractional CISO · Hvilket mandat skal en ekstern CISO have?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
