Nej. Hverken den danske NIS2-lov eller direktivet stiller krav om en CISO, en informationssikkerhedschef eller en anden bestemt titel. Loven kræver, at virksomheden træffer passende foranstaltninger på en række områder, at ledelsesorganet godkender dem og fører tilsyn, og at ledelsen deltager i kurser. Hvem der udfører arbejdet, er op til virksomheden. Alligevel vil de fleste omfattede virksomheder opdage, at kravene er svære at opfylde, hvis ingen bestemt person ejer arbejdet mellem ledelsens møder.
Det, loven faktisk siger
NIS2-loven er lov nr. 434 af 6. maj 2025 og trådte i kraft 1. juli 2025. De centrale krav til virksomheden står i § 6 og § 7. § 6, stk. 1, opregner ti minimumsområder, fra politikker for risikoanalyse over håndtering af hændelser og forsyningskædesikkerhed til multifaktorautentificering. § 7 lægger godkendelsen, tilsynet og kurserne hos ledelsesorganet. §§ 12 og 13 fastsætter, hvornår og hvordan en væsentlig hændelse skal underrettes.
Ingen af bestemmelserne nævner en rolle, der skal udpeges. Det samme gælder direktivets artikel 20 og 21. Påstande om, at NIS2 kræver en CISO, bygger derfor ikke på lovteksten. Sektorspecifikke regler fastsat i medfør af § 6, stk. 3, kan i princippet stille mere detaljerede krav, så virksomheder i særligt regulerede sektorer bør tjekke deres egen myndigheds bekendtgørelser.
Hvorfor spørgsmålet alligevel bliver stillet
Spørgsmålet opstår af gode grunde. Kunder, der selv er omfattet, sender spørgeskemaer med et felt til “sikkerhedsansvarlig”. Forsikringsselskaber vil vide, hvem der står for IT-sikkerheden. Og bestyrelsen vil gerne vide, hvem der står for arbejdet. Ingen af dem kræver titlen CISO, men de forventer alle et navn.
Det enkleste svar i spørgeskemaet er at oplyse den person, der faktisk leder arbejdet, og beskrive i én sætning, hvad vedkommende har ansvar for. Er rollen ekstern, kan svaret nævne både den eksterne og den interne kontaktperson. Kunden får dermed et navn, og svaret holder, når kunden følger op med spørgsmål.
Leverandører af sikkerhedsydelser bidrager også til forvirringen, når de skriver, at loven kræver en bestemt funktion. Når et sådant udsagn dukker op, er det rimeligt at bede om paragraffen.
Det arbejde, der skal ejes af nogen
Lovens krav kan ikke opfyldes ved en enkelt indsats. De kræver en løbende proces, hvor nogen holder risikovurderingen opdateret, følger op på foranstaltningerne, samler rapporteringen til ledelsen og har overblik over leverandørerne. Det er det arbejde, en CISO typisk udfører.
Hos en mellemstor grossist med eget lager ligger opgaverne ofte spredt. IT-leverandøren tager sig af backup og opdateringer, økonomichefen af forsikringen, direktøren af kundernes spørgeskemaer. Ingen ser helheden, og det er dér, huller opstår. Sådan en situation er beskrevet i Ekstern CISO: hvornår giver det mening at hente rollen udefra?.
Loven gør det ikke ulovligt at fordele opgaverne. Det, der går galt, er typisk, at ingen samler dem til det grundlag, ledelsen skal godkende ud fra.
Tre måder at løse det på
Virksomheder, der er omfattet, vælger som regel en af tre veje:
- En intern medarbejder får rollen ved siden af andre opgaver. Det kræver tid, kompetencer og en placering tæt på ledelsen.
- En ekstern CISO eller vCISO får ansvaret for at lede arbejdet i en aftalt timeramme, mens en intern kontaktperson holder hverdagen sammen. Modellen er forklaret i Hvad er CISO as a Service?.
- En fuldtidsansat CISO, når virksomhedens størrelse og risici retfærdiggør det.
Valget afhænger af virksomhedens størrelse, risiko og hvor meget af kompetencen der findes i huset. Forholdet mellem den interne kontaktperson og den eksterne er beskrevet i Informationssikkerhedsansvarlig: hvem i virksomheden skal have titlen?. Hvis spørgsmålet er bredere og handler om, hvilken IT-ledelsesrolle virksomheden i det hele taget mangler, giver gennemgangen af NIS2 og valg af rolle på ekstern-it-ledelse.dk et overblik.
Det, ingen CISO kan tage fra ledelsen
Uanset model ligger godkendelse og tilsyn hos ledelsesorganet. En CISO kan forberede det hele, men kan ikke godkende på ledelsens vegne. Det er beskrevet nærmere i Kan ledelsen uddelegere NIS2-arbejdet til en CISO?. Hvad der i øvrigt hører til ledelsens pligter, er samlet på NIS2 og ledelsens ansvar.
Det skal I lade være med
- At ansætte eller købe en CISO alene for at sætte et navn i et felt. Rollen skal have et mandat og tid til arbejdet.
- At tro, at en titel opfylder loven. Myndigheden ser på foranstaltningerne og ledelsens godkendelse.
- At lade IT-leverandøren være den eneste, der kender sikkerhedsstatus. Ledelsen skal have sit eget overblik.
- At acceptere påstande om lovkrav uden en paragraf. Lovteksten er offentlig og kan læses på retsinformation.dk.
- At udskyde placeringen af ansvaret, indtil en kunde spørger. Svaret skal hænge sammen med det, der faktisk sker.
Det skal I kræve af den eksterne
- ☐ En oversigt, der viser, hvilke paragraffer og områder rollen tager sig af.
- ☐ Henvisning til paragraf og stykke, når der tales om et lovkrav.
- ☐ En plan for, hvordan den interne kontaktperson inddrages.
- ☐ Rapportering, der gør det muligt for ledelsen at føre tilsyn.
- ☐ Ærlighed om, hvornår virksomheden kan klare opgaven selv.
Næste skridt er en liste med et navn ud for hver af opgaverne i § 6, stk. 1, og se, om én person har overblikket. Hvis ikke, er det dét, der skal løses, uanset hvad rollen kommer til at hedde.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6 (minimumsområder og bemyndigelse i stk. 3), § 7 (ledelsesorganets pligter), §§ 12 og 13 (underretning), § 33 (ikrafttræden).
- NIS2-direktivet, (EU) 2022/2555: artikel 20 (ledelse) og artikel 21 (foranstaltninger).
- SAMSIK: NIS2-vejledninger: vejledningerne om ledelsens rolle og om implementering af foranstaltninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Registreret efter NIS2: hvad skal ledelsen gøre nu? · Ledelsen skal godkende og føre tilsyn
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
