En fractional CISO er en erfaren sikkerhedsleder, som virksomheden har en fast andel af, typisk et antal timer eller dage hver måned. Ordet fractional betyder brøkdel. Brøkdelen gælder tiden, mens ansvaret for at lede sikkerhedsarbejdet er helt. Det stiller krav til, hvordan timerne bruges, hvordan virksomheden får fat i personen, og hvem der gør hvad mellem møderne. Gøres det rigtigt, får en mindre virksomhed en sikkerhedsledelse, der hænger sammen hele året, selv om personen kun er der en del af tiden.
Brøkdelen gælder tiden
Den første misforståelse er, at en fractional CISO også kun tager sig af en brøkdel af opgaven. Sådan er det ikke tænkt. Personen ejer hele sikkerhedsprogrammet: risikovurderingen, planen, politikkerne, kravene til leverandørerne og rapporteringen til ledelsen. Det, der er mindre, er antallet af timer, fordi virksomheden ikke har opgaver nok til en fuld stilling.
Det kan kun lade sig gøre, fordi meget af arbejdet udføres af andre. IT-leverandøren gennemfører tekniske ændringer, en intern kontaktperson samler oplysninger, og direktionen træffer beslutningerne. Den fractional CISO sætter retningen, følger op og samler trådene. Den, der forventer, at personen selv udfører alt, bliver skuffet over, hvor langt timerne rækker.
En fast rytme bærer arbejdet
Med få timer om måneden er rytmen vigtigere end mængden. Et fast statusmøde med direktøren, fx den første tirsdag i hver måned, gør det muligt at holde planen i gang, selv om der går uger mellem møderne. En kort skriftlig status efter hvert møde betyder, at alle ved, hvem der har bolden. Faste datoer for et helt år ad gangen gør det også lettere for direktøren at prioritere mødet.
Ud over den månedlige rytme er der en kvartalsrytme og en årsrytme. Hvert kvartal opdateres risikobilledet, og bestyrelsen får en status. Én gang om året gennemgås politikken, beredskabsplanen afprøves, og leverandøraftalerne tages op til vurdering. Et årshjul for sikkerhedsarbejdet samler de faste punkter, så intet bliver glemt.
Sådan kan timerne fordeles over året
Timerne bruges sjældent jævnt. Et realistisk forløb for en virksomhed i det første år kan se sådan ud:
- De første måneder · en grundig gennemgang af systemer, leverandører, aftaler og risici. Her bruges flest timer, ofte som et særskilt forløb før den faste ramme.
- Resten af første halvår · arbejdet med de vigtigste punkter i planen, typisk adgangsstyring, backup og beredskab, og de første krav til leverandørerne.
- Andet halvår · mere opfølgning end nyt arbejde. Timerne går til leverandørmøder, kundespørgsmål, rapportering og den første øvelse.
- Årets afslutning · samlet status, ny risikovurdering og en plan for næste år, som ledelsen godkender.
Større opgaver, fx opbygning af et ledelsessystem efter ISO/IEC 27001, bør ikke presses ind i den månedlige ramme. De aftales som projekter ved siden af, så den løbende ledelse ikke går i stå.
Tilgængelighed mellem møderne
Det spørgsmål, ledelsen oftest glemmer at stille, er, hvad der sker, når noget haster. En fractional CISO har andre kunder og er ikke på kontoret hver dag. Derfor skal det være aftalt på forhånd, hvordan virksomheden får fat i personen, hvor hurtigt der svares på hverdage, og hvad der gælder ved en alvorlig hændelse.
Ved en hændelse er det sjældent den fractional CISO, der skal udføre det tekniske arbejde. Rollen er at hjælpe ledelsen med beslutningerne: hvad skal lukkes ned, hvem skal informeres, og skal myndighederne underrettes? Det forudsætter en beredskabsplan, hvor rollerne er skrevet ind. Se beredskab.
Ansvaret ligger fast
Uanset hvor få timer der er aftalt, er det ledelsen, der bærer ansvaret for sikkerheden. Under NIS2 hører både godkendelse og tilsyn hjemme i ledelsesorganet. Den fractional CISO kan forberede, anbefale og følge op, men kan ikke tage ansvaret med sig ud af huset. Grænsen uddybes i Hvilket mandat skal en ekstern CISO have?
Sådan ser I, om brøkdelen er stor nok
Efter et halvt år kan ledelsen ret enkelt vurdere, om timerammen passer. Se på tre ting. Hvor stor en del af handlingsplanen er gennemført, og hvorfor står resten stille? Bliver de faste møder holdt, eller bliver de flyttet, fordi der ikke er tid? Og når der kommer en henvendelse fra en kunde, en forsikring eller en myndighed, bliver den så besvaret inden for rimelig tid?
Hvis planen står stille, fordi den fractional CISO ikke når at følge op, er rammen for lille. Hvis planen står stille, fordi virksomheden ikke leverer svar eller beslutninger, hjælper flere timer ikke. Så skal den interne opbakning styrkes. Tag den samlede status op til en åben drøftelse hvert år.
Det skal I lade være med
- At købe for få timer til at holde rytmen · en ramme, der kun rækker til at svare på mails, bliver til rådgivning efter behov.
- At bruge timerne på drift · hvis den fractional CISO ender med at nulstille adgangskoder, er der ingen tid til ledelse.
- At springe den interne kontaktperson over · uden én person i huset, der kan hente oplysninger og følge op, går timerne til at lede efter svar.
- At gemme alt til møderne · små spørgsmål, der venter en måned, bliver til store.
Det skal I kræve af den eksterne
- ☐ En timeramme, der passer til jeres plan, og en forklaring på, hvordan den er regnet ud.
- ☐ En aftalt fordeling af timerne over året med plads til uforudsete opgaver.
- ☐ Faste svartider på hverdage og en beskrevet ordning ved hændelser.
- ☐ En skriftlig status efter hvert møde med ansvarlige og datoer.
- ☐ Klar besked, når en opgave falder uden for rammen og skal aftales særskilt.
- ☐ En plan for ferie og fravær, så rytmen ikke brydes.
Hvad gør I nu?
Overvej, hvor ofte jeres ledelse realistisk kan mødes om sikkerhed, og hvem i huset der kan være kontaktperson. Brug svarene til at tale med mulige udbydere om rytme og timeramme, før I taler om opgaver. Selve modellen er beskrevet under CISO as a Service, og forløbet fra første gennemgang til fast samarbejde under sådan foregår det. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ekstern CISO · Årshjul for sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
