En vCISO er en ekstern sikkerhedsleder, som en virksomhed knytter til sig på deltid i stedet for at ansætte en CISO. Bogstavet v står for virtuel og betyder i praksis, at personen arbejder for jer uden at stå på lønsedlen. Opgaven er at lede sikkerhedsarbejdet: vurdere risici, lægge en plan, stille krav til leverandørerne og holde direktion og bestyrelse orienteret. Selve driften, overvågningen og de tekniske indgreb bliver hos IT-leverandøren. Den bedste måde at forstå rollen på er at følge den gennem en helt almindelig måned.
Virksomheden i eksemplet
Forestil jer en produktionsvirksomhed med 40 ansatte. Den har en IT-leverandør, der passer servere, pc’er og Microsoft 365, en leverandør af ERP-systemet og en tredje, der vedligeholder styringen af produktionsanlægget. Direktøren har IT som en af mange opgaver. Bestyrelsen har spurgt til cybersikkerhed to gange det seneste år, og en stor kunde har sendt et spørgeskema om sikkerhed, som stadig ligger ubesvaret.
Ingen i virksomheden har sikkerhed som sit ansvar. Hver leverandør passer sit eget område, men ingen ser på, om helheden hænger sammen. Det er det hul, en vCISO er sat til at lukke.
Første uge: status og opfølgning
Måneden begynder med et kort statusmøde med direktøren. vCISO’en gennemgår handlingsplanen fra sidste måned: Er der indført totrinsgodkendelse på fjernadgangen til produktionsanlægget? Har IT-leverandøren testet, at backuppen kan læses tilbage? Hvad mangler stadig, og hvem venter på hvem?
Bagefter skriver vCISO’en til de leverandører, der har punkter i gang, og beder om en dato eller en forklaring. Det lyder banalt, men den systematiske opfølgning er ofte det, der flytter mest. Uden den ender gode beslutninger som punkter, ingen husker.
Anden uge: kunden og spørgeskemaet
Kundens spørgeskema har fyrre spørgsmål om adgangsstyring, backup, kryptering og beredskab. vCISO’en fordeler spørgsmålene: nogle kan besvares ud fra dokumentation, virksomheden allerede har, andre kræver svar fra IT-leverandøren, og et par stykker afslører, at der mangler en beslutning i ledelsen.
Svarene skrives, så de passer med virkeligheden, og de gemmes, så næste kunde får de samme svar. Hvor virksomheden ikke lever op til et krav, formuleres et ærligt svar med en plan. Den slags svar er et løfte over for kunden, og derfor godkender direktøren dem, før de sendes. Mere om det ligger under kundekrav.
Tredje uge: risiko og en ny beslutning
Salgschefen vil gerne tage et nyt CRM-system i brug, som sælgerne kan bruge fra telefonen. vCISO’en stiller de spørgsmål, der skal besvares før underskrift: Hvor ligger data? Hvem hos leverandøren har adgang? Kan systemet kobles til virksomhedens login med totrinsgodkendelse? Hvordan får virksomheden sine data ud igen?
Svarene samles på en halv side med en anbefaling. Direktøren beslutter. Hvis der er en risiko, som virksomheden vælger at leve med, bliver den skrevet ind i risikolisten med en begrundelse og en dato for, hvornår den skal vurderes igen. Sådan bliver risikovurdering til ledelsesbeslutninger, som beskrevet under risikostyring.
Fjerde uge: ledelsen og bestyrelsen
Sidst på måneden laver vCISO’en en kort status til direktionen: hvad er gennemført, hvad er forsinket, hvilke nye risici er dukket op, og hvad skal besluttes. Hvert kvartal går en udgave af den videre til bestyrelsen, så den kan følge med i arbejdet og stille spørgsmål. Hvordan den rapportering kan se ud, står under bestyrelsen.
Er virksomheden omfattet af NIS2, får rapporten en ekstra funktion. Loven lægger godkendelsen af sikkerhedsforanstaltningerne og tilsynet med dem hos ledelsesorganet. vCISO’en kan forberede materialet, men beslutningen og ansvaret bliver hos ledelsen.
Hvad der bliver hos IT-leverandøren
En vCISO overtager ikke driften. IT-leverandøren installerer opdateringer, konfigurerer firewalls, administrerer brugere og reagerer på alarmer. Leverandøren af produktionsanlægget vedligeholder styringen. Det er deres fag, og det skal det blive ved med at være.
Forskellen er, at nogen nu formulerer, hvad virksomheden forventer af dem, og spørger, om det sker. vCISO’en taler leverandørerne imod, når det er nødvendigt, og bakker dem op, når de har brug for en beslutning fra virksomheden. Grænsen mellem de to roller er uddybet i Kan IT-leverandøren også være vores CISO?
En god vCISO har heller ingen økonomisk interesse i, hvilken løsning virksomheden vælger. Spørg til partneraftaler, forhandleraftaler og provision, så anbefalingerne kan bygge på jeres behov alene.
Når måneden ikke er almindelig
Nogle måneder bryder mønsteret. En medarbejder klikker på et link i en falsk mail, og en konto bliver misbrugt til at sende ændrede fakturaer ud til kunderne. IT-leverandøren lukker kontoen og undersøger omfanget. vCISO’en hjælper direktøren med de beslutninger, der ikke er tekniske: Skal kunderne advares? Skal der indgives en politianmeldelse? Er persondata berørt, så Datatilsynet skal underrettes? Bagefter samler vCISO’en erfaringerne, så beredskabsplanen bliver bedre, og hændelsen kommer med i næste rapport til bestyrelsen. Den slags måneder kræver flere timer end normalt, og aftalen bør på forhånd beskrive, hvordan de håndteres. Ledelsens del af arbejdet under en hændelse er beskrevet under beredskab.
Det skal I lade være med
- At forvente en tekniker · en vCISO, der selv ændrer opsætninger i jeres systemer, blander ledelse og drift og bliver svær at holde ansvarlig.
- At ansætte rollen og glemme den · uden fast mødetid med direktøren mister arbejdet retning efter få måneder.
- At lade vCISO’en beslutte alt · accept af risiko, budget og politikker er ledelsens beslutninger.
- At skjule rollen for leverandørerne · de skal vide, at vCISO’en taler på virksomhedens vegne, ellers bliver opfølgningen uden virkning.
Det skal I kræve af den eksterne
- ☐ En første gennemgang, der ender i en skriftlig og prioriteret plan.
- ☐ En fast månedlig rytme med statusmøde og opdateret handlingsplan.
- ☐ En klar grænse mellem det, vCISO’en leder, og det, leverandørerne udfører.
- ☐ Rapportering til direktionen hver måned og til bestyrelsen efter aftale.
- ☐ Åbenhed om alle bindinger til leverandører og produkter.
- ☐ Planer, risikolister og rapporter, som I ejer, og som en ny person kan arbejde videre med.
Skriv de tre største sikkerhedsspørgsmål ned, som ingen i dag kan svare på. Det kan være kundens spørgeskema, bestyrelsens spørgsmål eller tvivl om backup. Brug listen, når I taler med mulige vCISO’er, og spørg, hvordan de ville gribe netop de tre an i den første måned. Modellen og betegnelserne er samlet under CISO as a Service. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fractional CISO · Ekstern CISO
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
