Arbejdet kan flyttes, ansvaret bliver. En CISO, intern eller ekstern, kan lave risikovurderingen, skrive politikkerne, foreslå foranstaltninger, følge op hos leverandørerne og rapportere om fremdriften. Godkendelsen af foranstaltningerne og tilsynet med dem ligger efter NIS2-loven hos ledelsesorganet og kan ikke aftales væk. Styrelsen for Samfundssikkerhed skriver, at ledelsesorganet kan uddelegere opgaver til fx et udvalg, men at det samlede organ fortsat har ansvaret kollektivt.
Hvad loven binder til ledelsesorganet
§ 7, stk. 1, i lov nr. 434 af 6. maj 2025 knytter to handlinger til ledelsesorganet: at godkende de foranstaltninger, der træffes efter § 6, og at føre tilsyn med, at de bliver gennemført. § 7, stk. 2, pålægger medlemmerne at deltage i kurser. Ingen af de tre pligter kan opfyldes af en anden person på ledelsens vegne. En CISO kan ikke tage et kursus for bestyrelsen, og en godkendelse, som CISO giver, er ikke ledelsesorganets godkendelse.
§ 6 handler derimod om, hvad virksomheden skal gøre. Her er der intet til hinder for, at arbejdet udføres af medarbejdere, en IT-leverandør eller en ekstern CISO. Det er den fordeling, der gør ekstern sikkerhedsledelse mulig.
SAMSIK om udvalg og delegation
SAMSIKs vejledning om ledelsens rolle og opgaver har et afsnit om netop dette spørgsmål. Nogle virksomheder har et udvalg for cyber- og informationssikkerhed, et revisionsudvalg eller lignende med repræsentanter fra ledelsesorganet. Vejledningen skriver, at ledelsesorganet kan uddelegere opgaver til sådan et udvalg, men at det samlede organ fortsat har ansvaret for, at virksomheden lever op til loven, herunder kravene til ledelsen selv. Ledelsesorganet bør derfor overvåge, at udvalget udfører opgaverne.
Er det tilfældet for et udvalg med ledelsens egne medlemmer, gælder det i endnu højere grad for en person uden for ledelsesorganet. Hvordan selskabsformen afgør, hvem der sidder i organet, fremgår af Hvem er ledelsesorganet efter NIS2-loven?.
Det kan CISO forberede
En ekstern CISO kan i praksis bære langt det meste af arbejdet frem til beslutningen. Typisk drejer det sig om:
- Risikovurderingen, der viser, hvad der kan ramme forretningen, og hvor alvorligt det er.
- Kortlægningen af virksomhedens stade på hvert af minimumsområderne i § 6, stk. 1.
- Forslaget til foranstaltninger med prioritering, ansvarlige og tidsplan.
- Politikker og procedurer, fx for hændelser, adgangsstyring og leverandører.
- Rapporteringen til ledelsen mellem møderne, så tilsynet har noget at bygge på.
- Opfølgningen hos IT-leverandøren og de øvrige leverandører.
Den eksterne kan også tilrettelægge ledelsens kurser og en øvelse i beredskabet. Hvad rollen skal have lov til at bestemme, og hvor grænsen går, står i Hvilket mandat skal en ekstern CISO have?.
Det skal ledelsen selv afgøre
Nogle beslutninger kan ingen andre træffe. Ledelsen skal tage stilling til, hvilket sikkerhedsniveau der er passende for virksomheden, hvilke foranstaltninger der godkendes, og hvilke risici der accepteres. Den skal afsætte ressourcer, tage stilling til afvigelser, når tilsynet viser dem, og beslutte, hvem der må underrette myndighederne om en væsentlig hændelse efter § 12 og § 13. Endelig skal den selv gennemføre kurserne.
Et tænkt eksempel gør grænsen tydelig. CISO i en NIS2-omfattet grossistvirksomhed foreslår at udskifte løsningen til fjernadgang, fordi den nuværende mangler multifaktorautentificering. Valget af teknisk løsning kan CISO og IT-leverandøren klare. Udgiften, tidsplanen og spørgsmålet om, hvad der gøres i mellemtiden, skal op til direktionen.
En nyttig test er at spørge, om beslutningen ændrer virksomhedens risiko, budget eller forpligtelser over for andre. Gør den det, hører den hjemme hos ledelsen. Hvordan godkendelsen dokumenteres, er beskrevet i Ledelsen skal godkende og føre tilsyn.
Hvorfor afstanden mellem forberedelse og beslutning er en fordel
Adskillelsen beskytter begge parter. CISO kan stille forslag uden at skulle bære ansvaret for prioriteringen, og ledelsen får et grundlag, den kan stille spørgsmål til. Står den samme person både for forslaget og godkendelsen, forsvinder den kontrol, loven lægger op til.
Uafhængigheden har også betydning i forhold til leverandørerne. En CISO, der ikke tjener på, hvilke produkter eller driftsaftaler virksomheden vælger, kan anbefale ud fra virksomhedens behov. Fravær af partneraftaler, forhandleraftaler og provision fra leverandører er en forudsætning for den rolle. Hvorfor driftsleverandøren sjældent er det rette sted for rollen, er beskrevet i artiklen om IT-leverandøren i rollen som CISO.
Det skal I lade være med
- At skrive i kontrakten, at den eksterne CISO har NIS2-ansvaret. Det binder ikke myndigheden og skaber falsk tryghed.
- At lade CISO godkende foranstaltningerne. Godkendelsen er ledelsesorganets.
- At oprette et udvalg og glemme at følge op på det. Det samlede organ skal stadig føre tilsyn.
- At lade ét bestyrelsesmedlem være den eneste, der kender emnet. Ansvaret er kollektivt.
- At udskyde beslutninger, fordi CISO “har styr på det”. Uden beslutninger står arbejdet stille.
Det skal I kræve af den eksterne
- ☐ En skriftlig fordeling af, hvad CISO forbereder, og hvad ledelsen beslutter.
- ☐ Beslutningsoplæg, der slutter med et konkret forslag til ledelsen.
- ☐ Fast rapportering, der gør tilsynet muligt.
- ☐ Tydelig markering, når en sag kræver ledelsens stillingtagen.
- ☐ Oplysning om bindinger til leverandører, også når der ingen er.
Hvordan samarbejdet med en ekstern CISO forløber fra start, står på Sådan forløber et samarbejde med en ekstern CISO. Næste skridt er en halv side, der deler opgaverne mellem ledelsen og den, der forbereder, og som godkendes på det kommende møde.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6 (foranstaltninger), § 7, stk. 1 og 2 (ledelsesorganets godkendelse, tilsyn og kurser), §§ 12 og 13 (underretning om væsentlige hændelser).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnit 2 om uddelegering til udvalg og det kollektive ansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er CISO as a Service? · NIS2 og ledelsens ansvar for cybersikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
