Spørgsmål og svar om ekstern CISO
Her er korte svar på de spørgsmål, direktioner og bestyrelser oftest stiller om sikkerhedsledelse hentet udefra. Hvert svar peger videre til den side, hvor emnet er gennemgået grundigt.
Hvad er CISO as a Service?
CISO as a Service betyder, at virksomheden får en informationssikkerhedschef udefra i et fast antal timer om måneden. Rollen leder risikovurdering, strategi, leverandøropfølgning og rapportering til ledelsen, mens drift og overvågning bliver hos IT-leverandøren. Modellen er forklaret på Hvad er CISO as a Service?.
Er en vCISO og en fractional CISO det samme?
I praksis bruges ordene om næsten den samme model. vCISO lægger vægt på, at rollen er virtuel og ekstern, og fractional CISO på, at den kun fylder en del af tiden. Spørg altid til mandat og timeramme frem for betegnelsen. Læs mere i Hvad er en vCISO, og hvad laver den i en mindre virksomhed? og Fractional CISO: sikkerhedsledelse i en brøkdel af tiden.
Kræver NIS2, at vi har en CISO?
Nej. NIS2-loven nævner ingen titel. Den lægger ansvaret hos ledelsesorganet, der skal godkende sikkerhedsforanstaltningerne, føre tilsyn med dem og deltage i relevante kurser. Mange virksomheder har alligevel brug for én, der ejer arbejdet. Se Kræver NIS2, at vi har en CISO?.
Kan ledelsen overlade NIS2-ansvaret til en ekstern CISO?
Arbejdet kan lægges ud, men ansvaret bliver hos ledelsen. En CISO kan forberede beslutninger, skrive udkast og følge op, mens godkendelsen og tilsynet er ledelsens egen opgave. Grænsen er gennemgået i Kan ledelsen uddelegere NIS2-arbejdet til en CISO?.
Kan vores IT-leverandør også være CISO?
Det giver en interessekonflikt, når den, der leverer driften, også skal vurdere den. Leverandøren kan med rette eje de tekniske tiltag, men vurderingen og prioriteringen bør ligge hos en, der arbejder for virksomheden. Se IT-leverandøren som CISO.
Hvad laver en ekstern CISO ikke?
En ekstern CISO driver ikke servere, overvåger ikke netværket døgnet rundt og udfører ikke penetrationstest. Rollen stiller krav til dem, der gør det, og følger op på resultatet. Grænserne står på Det dækker sitet ikke og i Sådan forløber et samarbejde med en ekstern CISO.
Hvor mange timer om måneden kræver rollen?
Det afhænger af virksomhedens størrelse, antallet af leverandører, kravene fra kunder og om virksomheden er omfattet af NIS2. Timerammen aftales efter den indledende gennemgang. Hvordan timerne fordeles over året, står i Fractional CISO: sikkerhedsledelse i en brøkdel af tiden. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvem skal svare på kundens sikkerhedsspørgeskema?
Én person bør eje svarene, så de er ens på tværs af kunder og passer med virkeligheden. Svarene er løfter, som kunden kan holde virksomheden op på. Se Kunden har sendt et sikkerhedsspørgeskema: hvem svarer? og temasiden Når kunderne stiller sikkerhedskrav.
Skal vi være ISO 27001-certificeret?
Ikke nødvendigvis. Mange kunder vil se, at virksomheden arbejder efter en anerkendt ramme, og her kan D-mærket eller et ledelsessystem efter ISO 27001 uden certifikat være nok. Spørg kunden, hvad der konkret forventes. Se ISO 27001: skal en mindre virksomhed certificeres?.
Hvad skal bestyrelsen have forelagt om sikkerhed?
Et kort billede af de vigtigste risici, hvor langt planen er nået, hvilke hændelser der har været, og hvad bestyrelsen skal tage stilling til. Det kan stå på én side, hvis det er skrevet til ledelsen. Se Sikkerhedsrapport til bestyrelsen: én side, der kan bruges og Cybersikkerhed i bestyrelseslokalet.
Hvad betyder CPO?
Forkortelsen bruges om tre titler: Chief Privacy Officer, Company Protection Officer og Cyber Protection Officer. I sikkerhedsbetydningen ligger Cyber Protection Officer tæt på CISO-rollen. Betegnelserne er forklaret på Cyber Protection Officer, CISO og cyber security advisor.
Hvordan begynder et samarbejde?
Med en sikkerhedsgennemgang, der munder ud i en prioriteret plan til ledelsen. Derefter arbejdes der hver måned inden for en aftalt ramme af timer, og større opgaver løses som projekter. Forløbet er beskrevet i Sådan forløber et samarbejde med en ekstern CISO.
Hvor lang tid tager NIS2-arbejdet?
Tiden styres af tre ting: hvor meget I allerede har på plads, hvor mange systemer og leverandører der skal med, og hvor hurtigt ledelsen beslutter sig, når et punkt er klar til godkendelse. Da loven allerede gælder, er det klogt at få en plan i etaper godkendt nu frem for at vente på, at alt er færdigt. Se Hvor lang tid tager det at få NIS2-foranstaltningerne på plads?.
Skal en CISO være teknisk?
En CISO skal vide nok om teknik til at vurdere leverandørernes svar og omsætte en teknisk risiko til en beslutning for ledelsen. Den dybe specialistviden hører hjemme hos dem, der driver systemerne. Evnerne over for direktion, leverandører og kunder er gennemgået i Skal en CISO være teknisk ekspert?.
Er en ekstern CISO mest papirarbejde?
Dokumenterne er det, man ser, men meget af tiden bruges på møder med ledelsen om beslutninger, på opfølgning hos leverandørerne, på kundernes spørgsmål og på at gøre beredskabet klar. Værdien viser sig i, at beslutninger bliver truffet, og at svarene udadtil hænger sammen. Se Er en ekstern CISO mest papirarbejde?.
Hvad skal sikkerheden have i budget?
Der findes ingen fast andel, der passer til alle. Et godt budget kan forklares post for post ud fra risikovurderingen og den godkendte plan, så ledelsen kan se, hvilke risici pengene nedbringer. Spørgsmålene til budgettet står i Sikkerhedsbudgettet: hvordan ledelsen vurderer, om det står mål med risikoen.
Hvad gør vi, hvis forsikringen ikke fornyes?
Få begrundelsen på skrift, sorter manglerne efter jeres egen risiko, og læg en plan med datoer og dokumentation for hvert fremskridt. Tag samtidig stilling til perioden uden dækning, især hvis policen gav hjælp ved hændelser. Fremgangsmåden står i Forsikringsselskabet vil ikke forny cyberforsikringen: hvad nu?.
Hvordan vælger vi en ekstern CISO?
Se på de krav, der er særlige for sikkerhedsrollen: uafhængighed af driftsleverandøren, evnen til at tale med ledelsen, tilgængelighed under en hændelse og jeres ejerskab af dokumenterne. Spørg også efter referencer. Kravene og spørgsmålene til udbyderne er samlet på Sådan vælger I en ekstern CISO.
Hvem beslutter, om en hændelse skal underrettes?
Det bør være aftalt i beredskabsplanen, før hændelsen sker. Vurderingen af, om hændelsen er væsentlig efter NIS2-loven, forberedes typisk af den, der leder sikkerhedsarbejdet, mens en navngiven person i ledelsen træffer beslutningen, så fristen på 24 timer kan holdes. Se Er hændelsen væsentlig? Hvem i ledelsen beslutter, at der skal underrettes.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Artikler om CISO as a Service · Kontakt
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
