Nej, selv om dokumenterne er det mest synlige resultat. En ekstern CISO skriver og vedligeholder de dokumenter, virksomheden har brug for, men en stor del af tiden går til beslutninger med ledelsen, dialog med leverandører, svar til kunder og forberedelse af beredskabet. Dokumenterne er rammen for arbejdet. Ledelsen kan se værdien i hverdagen på, at beslutninger bliver truffet hurtigere, at leverandørerne svarer mere præcist, og at kundernes spørgsmål bliver besvaret ensartet og korrekt.
Hvorfor rollen ser ud som papirarbejde
I opbygningsfasen er der meget, der skal skrives: risikovurdering, informationssikkerhedspolitik, procedurer, beredskabsplan og leverandøroverblik. Det er de første resultater, ledelsen ser, og de fylder i mappen. Samtidig foregår meget af det øvrige arbejde i møder og mails, som ikke efterlader noget, der ligner et produkt.
Derfor kan det første halve år give indtrykket af, at rollen handler om dokumenter. Billedet skifter, når grundlaget er etableret, og opgaverne begynder at gentage sig. Fra da af bliver dokumenterne vedligeholdt i små portioner, mens tiden i stigende grad bruges på de opgaver, der kræver dømmekraft og kendskab til virksomheden.
De dokumenter, der er nødvendige
For en mindre virksomhed er der en kerne af dokumenter, som giver ledelsen styr på helheden. De fleste kan holdes korte.
- Risikovurdering. De vigtigste risici, deres konsekvens og hvad der gøres ved dem.
- Informationssikkerhedspolitik. Ledelsens retning og ansvarsfordeling på få sider. Indholdet er beskrevet i informationssikkerhedspolitik.
- Procedurer for gentagne opgaver. Adgangsgennemgang, backuptest, håndtering af nye og fratrådte medarbejdere.
- Leverandøroverblik. Hvem har adgang til hvad, og hvilke krav gælder.
- Beredskabsplan. Roller, kontaktliste og de første beslutninger.
- Plan og status. Hvad der skal ske, hvornår og af hvem.
For virksomheder under NIS2-loven skal foranstaltningerne være godkendt af ledelsesorganet, jf. § 7, stk. 1. Det er lettere at godkende og føre tilsyn med noget, der står skrevet. SAMSIK’s vejledning om implementering af foranstaltningerne lægger også vægt på nedskrevne politikker og procedurer. Hvordan dokumenterne hænger sammen, står i politik, retningslinjer og procedurer.
Det, der fylder ud over dokumenterne
Beslutninger med ledelsen. Forslag til prioriteringer, risici der skal accepteres, budgetter og eskalerede sager. En god CISO gør beslutningerne enkle at træffe.
Leverandørdialog. Faste opfølgningsmøder, spørgsmål til dokumentation, krav ved nye aftaler og vurdering af leverandørernes forslag. Her har en ekstern CISO ofte den største effekt, fordi leverandørerne får en modpart, der kender de tekniske detaljer. Hvordan opfølgningen kan se ud, står i opfølgning på leverandøren.
Kundesvar. Sikkerhedsspørgeskemaer, kontraktkrav og møder med kundernes sikkerhedsansvarlige. Svarene skal være ensartede og passe med virksomhedens faktiske praksis.
Beredskab. Forberedelse af ledelsen, øvelser og, hvis der sker en hændelse, rådgivning om beslutninger og underretning.
Sikkerhedsreview ved forandringer. Nye systemer, nye leverandører og ændringer i IT-miljøet bliver vurderet, før beslutningen træffes. Et kort review før underskrift er langt lettere end at rette op bagefter. Fremgangsmåden står i sikkerhedsreview før beslutningen.
Sparring med direktøren. Mange spørgsmål kommer ad hoc: en mistænkelig mail til bogholderiet, en ny kunde, der spørger til sikkerhed, eller en leverandør, der foreslår en ny løsning. Et hurtigt svar fra en, der kender virksomheden, sparer ofte flere møder senere.
Hvordan ledelsen ser forskellen i hverdagen
Værdien er sjældent et enkelt resultat. Den viser sig i små ændringer, som ledelsen kan lægge mærke til.
- Direktionen får et kort beslutningsoplæg i stedet for en lang teknisk rapport.
- Leverandøren svarer på konkrete spørgsmål med dokumentation.
- Kundens spørgeskema bliver besvaret hurtigere og med svar, der passer til tidligere svar.
- Nye systemer bliver vurderet, før kontrakten underskrives.
- Bestyrelsen får en status, den kan forstå og stille spørgsmål til.
- Når noget går galt, ved ledelsen, hvem der gør hvad.
Hvis ingen af de ændringer kan ses efter et års samarbejde, er der grund til at spørge, hvad timerne bliver brugt på. Det spørgsmål bør en ekstern CISO kunne besvare uden at tøve og med en opgørelse i hånden.
Et tænkt eksempel
En underleverandør til energisektoren med 40 ansatte får en ekstern CISO. De første tre måneder går mest med dokumenter. Derefter skifter billedet. CISO’en deltager i månedlige møder med driftsleverandøren, besvarer to kunders sikkerhedsspørgeskemaer ud fra samme grundlag og forbereder direktionen på en beslutning om at udskifte et gammelt fjernadgangssystem. Ved årets slutning er dokumenterne en mindre del af tidsforbruget, mens leverandørdialog og kundesvar fylder mest.
Det skal I lade være med
- At måle CISO’en på antal dokumenter. Mål på beslutninger, opfølgning og lukkede risici.
- At bestille dokumenter uden at bruge dem. Et dokument, ingen læser, er spildt arbejde.
- At holde CISO’en væk fra leverandørmøderne. Det er her, meget af værdien skabes.
- At lade kundesvar ligge hos salg alene. Svarene skal passe med praksis.
- At forvente lange rapporter. Korte oplæg giver hurtigere beslutninger.
Det skal I kræve af den eksterne
- ☐ Korte dokumenter, der er tilpasset virksomheden og ikke kopieret fra en skabelon.
- ☐ Deltagelse i leverandørmøder og opfølgning på aftalte krav.
- ☐ Ensartede kundesvar ud fra ét fælles grundlag.
- ☐ En kvartalsvis status, der viser, hvad tiden er brugt på.
- ☐ Klare beslutningsoplæg til direktionen.
- ☐ Rådgivning fra en, der ikke har forhandleraftaler eller provision fra de leverandører, der omtales.
Sådan vurderer I det
Bed om en opgørelse over, hvordan tiden er fordelt på dokumenter, beslutninger, leverandører, kunder og beredskab i det seneste kvartal. Fordelingen viser, om rollen bruges til det, den er bedst til. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud. Hvordan et forløb er bygget op, står under sådan forløber et samarbejde.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7, stk. 1, om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: myndighedens vejledning, herunder om nedskrevne politikker og procedurer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal en CISO være teknisk ekspert? · Bliver sikkerhedsarbejdet nogensinde færdigt?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
