Titlen bør gå til en medarbejder, der kender virksomhedens hverdag, har tid afsat til opgaven og har ledelsens opbakning til at bede kolleger og leverandører om noget. Det behøver ikke være en IT-specialist. Den informationssikkerhedsansvarlige er virksomhedens faste punkt i sikkerhedsarbejdet, mens en ekstern CISO leder arbejdet, sætter retning og rapporterer til ledelsen. I mindre virksomheder fungerer de to roller bedst sammen, fordi de dækker hver sin halvdel af opgaven: den ene er til stede hver dag, den anden har erfaringen og overblikket.
To roller med hver sin opgave
Den informationssikkerhedsansvarlige er internt ansat og har sikkerhed som en del af sit job. Personen holder øje med, at aftalte opgaver bliver gjort, tager imod spørgsmål fra kolleger, samler dokumentation og er den, IT-leverandøren ringer til, når noget skal besluttes hurtigt. Rollen er praktisk og nær driften.
Den eksterne CISO arbejder fra et andet niveau. Personen vurderer risici, lægger planen, formulerer krav til leverandørerne og fortæller ledelsen, hvordan det går. Den eksterne har erfaring fra mange virksomheder og kan se mønstre, som er svære at få øje på indefra.
Hver for sig mangler de noget. Den interne har sjældent erfaring med risikostyring, standarder og ledelsesrapportering. Den eksterne er der ikke hver dag og kender ikke de uskrevne regler i huset. Sammen giver de en sikkerhedsledelse, der både har retning og fodfæste.
Hvem passer til titlen
I mindre virksomheder er det sjældent en selvfølge, hvem der skal have titlen. Nogle af de typiske kandidater:
- Økonomichefen · har overblik over aftaler, leverandører og budget og er vant til kontroller og dokumentation.
- Driftslederen eller produktionschefen · kender de systemer, der holder virksomheden kørende, og ved, hvad et nedbrud koster.
- Kvalitetschefen · arbejder i forvejen med procedurer, afvigelser og revisioner, ofte efter en ISO-standard.
- Den interne IT-medarbejder · kender teknikken, men kan have svært ved at sige fra over for sit eget arbejde.
Stillingsbetegnelsen betyder mindre end tre forhold. Personen skal have tid, have ledelsens mandat til at bede om ting og være villig til at stille spørgsmål, også når svaret er ubekvemt. En titel uden tid bliver hurtigt et navn på en liste. Overvej også, om personen har respekt i organisationen. Den sikkerhedsansvarlige skal kunne bede en afdelingsleder om at ændre en arbejdsgang uden at skulle hente direktøren hver gang.
Hvorfor begge ofte er nødvendige
Forestil jer en virksomhed med 35 ansatte, der har fået en ekstern CISO. CISO’en har lavet en risikovurdering og en plan med tolv punkter. Fire måneder senere er tre punkter gennemført. Resten venter på svar fra leverandører, på en medarbejder, der skulle undersøge noget, eller på et møde, der blev flyttet.
Planen er god nok, men ingen i huset har ansvaret for at skubbe den fremad mellem møderne. Med en intern sikkerhedsansvarlig, der har en time eller to om ugen, ville punkterne have haft en ejer, der kunne rykke for svar.
Det omvendte ses også. En virksomhed udpeger en engageret medarbejder som sikkerhedsansvarlig, men giver ingen hjælp. Medarbejderen bruger måneder på at finde ud af, hvad NIS2 kræver, og hvordan en risikovurdering laves. Det arbejde kunne en erfaren CISO have forkortet betydeligt.
Sådan deler de opgaverne
En enkel opdeling kunne se sådan ud:
- Risikovurdering · CISO’en leder arbejdet, den interne skaffer oplysninger og deltager i vurderingen.
- Politik og regler · CISO’en skriver udkast, den interne tilpasser dem til hverdagen, og ledelsen godkender.
- Leverandører · CISO’en formulerer kravene, den interne følger op på aftalte opgaver.
- Medarbejdere · den interne er kontaktperson for spørgsmål og planlægger oplysning, CISO’en sikrer indholdet.
- Hændelser · den interne er første kontakt, CISO’en hjælper ledelsen med beslutningerne.
- Rapportering · CISO’en samler status til ledelsen, den interne leverer input.
Fordelingen skal skrives ned, så begge ved, hvor grænsen går. Den kan med fordel indgå i det mandat, ledelsen giver den eksterne. Se artiklen om CISO-mandatet.
Ledelsen bærer stadig ansvaret
Hverken den interne eller den eksterne overtager ledelsens ansvar. I en NIS2-omfattet virksomhed skal ledelsesorganet selv godkende sikkerhedsforanstaltningerne og følge gennemførelsen. Hvem det konkret er, afhænger af selskabsformen og er beskrevet i Hvem er ledelsesorganet efter NIS2-loven?. Titlen informationssikkerhedsansvarlig er ikke defineret i loven, og den fritager ikke direktion eller bestyrelse for noget.
Når den interne ansvarlige stopper
En intern rolle er sårbar, fordi den ofte hviler på én person. Når den informationssikkerhedsansvarlige går på barsel, skifter job eller bliver syg i længere tid, skal nogen kunne tage over. Her er samspillet med den eksterne CISO en fordel. Fordi planen, risikolisten og fordelingen af opgaver er skrevet ned, kan en ny kollega sættes ind i rollen på kort tid, og den eksterne kan bære en større del af arbejdet i overgangen. Beskriv derfor allerede nu, hvem der er stedfortræder, og hvad vedkommende skal vide.
Det skal I lade være med
- At give titlen til den, der ikke kan sige nej · en ny medarbejder eller en med for mange opgaver får ikke tid til rollen.
- At udpege uden at afsætte tid · skriv i stillingsbeskrivelsen, hvor mange timer rollen har.
- At gøre den interne ansvarlig for alt · uden erfaring med risikostyring bliver arbejdet tilfældigt.
- At lade den eksterne arbejde uden en kontakt i huset · så går timerne til at jage svar.
Det skal I kræve af den eksterne
- ☐ At den eksterne CISO arbejder tæt sammen med jeres interne ansvarlige og klæder vedkommende på.
- ☐ En skriftlig fordeling af opgaverne mellem de to.
- ☐ Faste møder med den interne mellem de store statusmøder.
- ☐ Dokumentation, som den interne kan finde og bruge uden hjælp.
- ☐ En plan for, hvordan den interne gradvist kan løfte mere selv.
Hvad gør I nu?
Skriv navnet på den person, der i dag uofficielt tager sig af sikkerhedsspørgsmål. Spørg vedkommende, hvor meget tid det tager, og hvad der mangler. Det svar viser, om I har brug for en formel intern rolle, en ekstern CISO eller begge. Titlerne på området er forklaret på temasiden om betegnelserne, og modellen for den eksterne rolle under CISO as a Service.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en vCISO? · Fra rådgiver til ansvarlig
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
