Advisor-rollen skal udvides, når virksomheden har brug for, at nogen ejer sikkerhedsarbejdet og følger det til dørs, fordi svar på enkeltspørgsmål er blevet for lidt. Mange begynder med en cyber security advisor, der giver sparring, når ledelsen spørger. Det fungerer, så længe opgaverne er få. Når kunder, NIS2, forsikring og bestyrelse begynder at stille krav samtidig, er sparring for lidt. Skiftet fra rådgiver til ansvarlig ændrer tre ting: mandatet, rapporteringen og timerammen. Hvis kun titlen ændres, sker der ingenting.
Rådgiverrollen og dens grænse
En sikkerhedsrådgiver svarer på det, der bliver spurgt om. Ledelsen eller IT-leverandøren henvender sig med et konkret spørgsmål, og rådgiveren giver en vurdering eller en anbefaling. Ansvaret for at handle på anbefalingen ligger hos virksomheden.
Modellen er fin til virksomheder, der har styr på det meste og blot vil have en uafhængig stemme ved større beslutninger. Grænsen viser sig, når ingen i virksomheden har tid til at føre anbefalingerne ud i livet, eller når ingen ved, hvilke spørgsmål der burde være stillet. Rådgiveren ser kun det, der bliver vist frem.
Tegnene på, at sparring ikke er nok
Disse situationer tyder på, at rollen skal udvides:
- Anbefalingerne bliver liggende · rådgiveren har peget på de samme mangler flere gange, uden at noget er sket.
- Spørgsmålene kommer for sent · rådgiveren bliver først spurgt, når et system er købt, eller en aftale er underskrevet.
- Flere krav samtidig · kundeskemaer, forsikringsfornyelse og NIS2 lander inden for samme halvår, og ingen samler dem.
- Bestyrelsen vil have en plan · rådgivning efter behov giver ingen samlet status at forelægge.
- Leverandørerne følges ikke op · krav bliver stillet, men ingen kontrollerer, om de bliver opfyldt.
- Rådgiveren bliver kaldt CISO · ledelsen omtaler rådgiveren som ansvarlig, uden at aftalen siger det.
Det sidste tegn er det mest risikable. Når alle tror, at rådgiveren har ansvaret, og rådgiveren tror, at virksomheden har det, ejer ingen sikkerheden.
Hvad der ændres i mandatet
Som rådgiver har personen ret til at anbefale. Som ansvarlig skal personen have ret til mere. Det nye mandat bør som minimum beskrive:
- At den ansvarlige fastlægger prioriteterne i sikkerhedsarbejdet inden for en ramme, ledelsen har godkendt.
- At den ansvarlige må stille krav til leverandørerne og bede om dokumentation på virksomhedens vegne.
- At den ansvarlige må indkalde ledelsen, når en sag kræver en beslutning, og selv sætte punkter på dagsordenen.
- En grænse mellem de beslutninger, den ansvarlige selv træffer, og dem, der går videre til direktionen.
Ledelsens egne beslutninger bliver hos ledelsen. Accept af risiko, budget og godkendelse af politikker kan ikke gives videre. Hvordan mandatet skrives, er beskrevet i Hvilket mandat skal en ekstern CISO have?
Hvad der ændres i rapporteringen
En rådgiver svarer typisk på spørgsmål og rapporterer sjældent. En ansvarlig skal derimod give ledelsen et samlet billede med jævne mellemrum: status på planen, nye risici, hændelser og de beslutninger, der venter. Direktionen får status månedligt, bestyrelsen fx en gang i kvartalet.
Det kræver noget af begge parter. Den ansvarlige skal skrive kort og i forretningssprog. Ledelsen skal sætte tid af til at læse og tage stilling. Hvordan en rapport til bestyrelsen kan se ud, står under bestyrelsen.
Hvad der ændres i timerammen
En rådgiver kan klare sig med få timer, fordi opgaverne kommer, når nogen spørger. En ansvarlig skal have tid til at lægge en plan, holde faste møder, følge op hos leverandørerne og forberede rapporter, også de måneder, hvor ingen spørger om noget. Timerammen stiger derfor ofte, især det første halve år.
Udvidelsen begynder med fordel med en gennemgang af hele sikkerheden. Rådgiveren kender måske dele af den i forvejen, men som ansvarlig skal personen have det fulde overblik, før planen kan lægges. Forløbet fra gennemgang til fast samarbejde er beskrevet under sådan foregår det. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Samme person eller en ny?
Det er ofte en fordel, at den rådgiver, I allerede kender, overtager det udvidede ansvar. Personen kender jeres systemer, leverandører og kultur. Men det er ikke givet. Spørg, om rådgiveren har erfaring med at lede et sikkerhedsprogram, skrive til en bestyrelse og følge op hos leverandører over tid. Spørg også, om der er tid i kalenderen til den nye rolle. Er svaret usikkert, kan det være klogere at finde en ny til ansvaret og beholde rådgiveren til særlige opgaver.
Overgangen i praksis
Skiftet behøver ikke ske på én dag. Mange virksomheder vælger en overgang på et par måneder, hvor rådgiveren først laver gennemgangen, derefter præsenterer en plan for direktionen og først derpå får det nye mandat godkendt. Så ved alle, hvornår ansvaret flytter, og leverandørerne kan få besked om, at de fremover skal svare den ansvarlige. Datoen for skiftet bør stå i referatet fra det direktionsmøde, hvor mandatet godkendes.
Det skal I lade være med
- At ændre titlen uden at ændre aftalen · så tror alle, at ansvaret er placeret, selv om intet er ændret.
- At udvide rollen uden mere tid · en ansvarlig med rådgiverens timer når kun at svare på mails.
- At springe gennemgangen over · planen bliver bygget på det, rådgiveren tilfældigvis har set.
- At gøre den ansvarlige til beslutningstager for alt · ledelsens ansvar efter NIS2 og selskabsretten kan ikke overdrages.
Det skal I kræve af den eksterne
- ☐ Et nyt, skriftligt mandat, der erstatter rådgiveraftalen.
- ☐ En samlet gennemgang som grundlag for planen.
- ☐ En fast rapporteringsrytme til direktion og bestyrelse.
- ☐ En timeramme, der passer til ansvaret, og en plan for de første seks måneder.
- ☐ Åbenhed om, hvorvidt den eksterne har kapacitet til den udvidede rolle.
Find den seneste liste over anbefalinger fra jeres rådgiver, og tæl, hvor mange der er gennemført. Er det under halvdelen, er det et tydeligt tegn på, at nogen skal eje arbejdet. Brug tallet som udgangspunkt for en samtale med rådgiveren om, hvad en udvidet rolle vil kræve. Forskellen på titlerne gennemgås på siden om betegnelserne.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Cyber Protection Officer-rollen · Ekstern CISO
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
