For mange mindre virksomheder er et regneark og en fælles dokumentmappe nok i de første år. Et ISMS-værktøj, dvs. et system til at styre informationssikkerheden, begynder at betale sig, når flere personer skal bidrage, når I skal dokumentere over for flere regelsæt eller kunder på én gang, eller når I skal kunne vise, hvem der ændrede hvad og hvornår. Uanset valget er der to forhold, der vejer tungere end funktionerne: at nogen har ansvaret for at holde indholdet opdateret, og at jeres data kan tages med, hvis I skifter. Den eksterne CISO bør kunne arbejde i begge løsninger og give jer en vurdering uden at have noget at vinde ved valget.
Hvad et ISMS-værktøj gør
Et ISMS er det samlede system af politikker, risikovurderinger, opgaver og opfølgning, der styrer sikkerhedsarbejdet. Hvad der giver værdi først i en mindre virksomhed, er beskrevet i ISMS i en mindre virksomhed. Værktøjet er den software, indholdet ligger i.
Typisk samler et sådant værktøj fem ting: et risikoregister, et register over foranstaltninger knyttet til en eller flere rammer som ISO/IEC 27001 eller NIS2, dokumenter med versioner og godkendelser, opgaver med ansvarlige og frister, og rapporter til ledelsen. Mange værktøjer har desuden færdige skabeloner og spørgeskemaer.
Hvornår regnearket rækker
Et regneark har tre fordele. Alle kan åbne det, det kræver ingen ny licens, og det kan ændres på et øjeblik. For en virksomhed med 30 ansatte, ét regelsæt og en lille kreds, der arbejder med sikkerheden, er det ofte den mest effektive løsning.
Regnearket virker, når disse forudsætninger er opfyldt:
- Én person ejer filen og holder strukturen.
- Der er få samtidige redaktører.
- Ændringer kan spores gennem versionshistorikken i den fælles mappe.
- Der er højst et par regelsæt eller kundekrav at holde styr på.
- Rapporten til ledelsen kan laves på en time.
Et eksempel er en fabrik med 40 ansatte, der har tre IT-leverandører. Risikoregistret har fyrre linjer, handlingsplanen tyve, og politikkerne ligger som dokumenter i en mappe, som direktøren og den eksterne CISO har adgang til. Her vil et værktøj mest tilføje en ny adgangskode og et nyt sted at lede. Kvaliteten afhænger af, at registret gennemgås på de faste møder, og den disciplin følger ikke med en licens.
Tegn på, at regnearket er blevet for lille
Tegnene kommer som regel gradvist. Flere afdelinger skal opdatere deres egne risici, og filerne begynder at eksistere i flere versioner. Kunderne sender spørgeskemaer, og de samme svar skal findes frem igen og igen. Et kravregister med lov, kunder og forsikring vokser til hundredvis af linjer, se kravregister. Eller en certificering kræver, at I kan vise, hvem der har godkendt hvilket dokument hvornår.
Når to eller tre af tegnene er til stede, er det tid til at se på et værktøj. Et skift tidligere giver sjældent gevinst, fordi indholdet endnu er for tyndt til at drage fordel af strukturen.
Kriterier for valget
Beslutningen bør bygge på jeres behov frem for på listen over funktioner. Disse spørgsmål skiller som regel værktøjerne ad.
- Rammer. Understøtter værktøjet de regelsæt og standarder, I faktisk arbejder med, og kan én foranstaltning kobles til flere krav på én gang?
- Brugere. Kan systemejere og ledere bruge det uden kursus, eller ender alt hos én person?
- Sporbarhed. Viser det, hvem der har ændret og godkendt hvad, med dato?
- Rapporter. Kan det levere en side til ledelsen, der ligner den, bestyrelsen allerede kender?
- Adgang. Understøtter det MFA og rettigheder pr. rolle, og hvor ligger data?
- Udtræk. Kan alt indhold tages ud i et åbent format, med historik og vedhæftede filer?
Det sidste kriterium behandles nedenfor, fordi det først får betydning den dag, I vil videre.
Bed om en prøveperiode, og brug den på jeres eget indhold. Læg ti rigtige risici, to politikker og et kundespørgeskema ind, og lad dem, der skal bruge systemet til daglig, prøve det. En demonstration med udbyderens eksempeldata viser sjældent, hvor arbejdet bliver tungt.
Det, værktøjet ikke løser
Et værktøj gør ingen af ledelsens beslutninger. Det vurderer ingen risiko, godkender ingen politik og følger ikke op på leverandøren. Fyldes det med skabeloner, som ingen har tilpasset, får I et pænt system med indhold, der ikke beskriver jeres virksomhed.
Det samme gælder dokumentejerskabet. Hvert dokument skal stadig have en ejer, der svarer for indholdet, se ejerskab af sikkerhedsdokumenter. Og anvendelseserklæringen, der viser, hvilke kontroller I har valgt og fravalgt, skal stadig skrives af nogen, der kender jeres forhold, se anvendelseserklæringen.
Jeres data, når I skifter
Indholdet i et ISMS-værktøj er år af arbejde: risikovurderinger, beslutninger, godkendelser og historik. Det er jeres dokumentation over for myndigheder, kunder og revisorer. Derfor skal det fremgå af aftalen, at data tilhører jer, hvilket format I kan få dem udleveret i, hvor lang tid udleveringen tager, og hvad der sker med data efter opsigelse.
Prøv et udtræk, før I binder jer, og gem resultatet i jeres egen mappe. Kan I få risikoregistret ud som en fil, der kan åbnes uden værktøjet, med datoer og ansvarlige? Hvordan en exitplan for en kritisk leverandør bygges op, er beskrevet på digital-suveraenitet.dk under exit-planen.
Det gælder også, når den eksterne CISO bruger sit eget værktøj. Indholdet skal kunne overdrages til jer eller til en efterfølger, uden at noget går tabt.
Det skal I lade være med
- At købe værktøjet, før der er indhold. Uden en første risikovurdering har systemet intet at strukturere.
- At lade leverandørens skabeloner stå uændret. De skal beskrive jeres virksomhed.
- At vælge på antallet af funktioner. Vælg på de få, I bruger hver måned.
- At glemme udtrækket. Uden en exitmulighed bliver dokumentationen bundet til en leverandør.
- At lade CISO eje platformen alene. Adgangen og ejerskabet skal ligge hos jer.
Det skal I kræve af den eksterne
- ☐ En vurdering af, om regneark eller værktøj passer til jeres størrelse og krav.
- ☐ Kriterier skrevet ned, før der ses på konkrete løsninger.
- ☐ Oplysning om eventuelle aftaler med eller provision fra udbydere af værktøjer.
- ☐ Et prøveudtræk af data, før der skrives under.
- ☐ Administratoradgang og ejerskab hos jer.
- ☐ En overdragelse af indholdet i et åbent format, hvis samarbejdet ophører.
Kilder
- ISO/IEC 27001 hos ISO: standarden for ledelsessystemer for informationssikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Én samling dokumentation til mange kunder · Anvendelseserklæringen (SoA)
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
