En ekstern CISO skal have et skriftligt mandat, der beskriver fire ting: hvilke opgaver rollen ejer, hvilke beslutninger den må træffe alene, hvilken adgang den har til direktion og bestyrelse, og hvor grænsen går for det, der skal forelægges. Uden mandatet bliver CISO’en en rådgiver med en fin titel. Med et for bredt mandat risikerer ledelsen at give beslutninger fra sig, som loven og selskabsretten placerer hos den selv. Et godt mandat fylder sjældent mere end to sider og bliver godkendt af den samme ledelse, som CISO’en rapporterer til.
Hvorfor mandatet skal være skriftligt
En ekstern CISO arbejder med mennesker, der ikke er ansat under vedkommende: IT-leverandører, afdelingsledere og medarbejdere. Når CISO’en beder en leverandør om dokumentation eller en afdeling om at ændre en arbejdsgang, skal det være tydeligt, at det sker på ledelsens vegne. Et mandat, som kan vises frem, gør samarbejdet lettere for alle. Det fjerner også tvivl hos medarbejderne, når en person udefra begynder at stille spørgsmål til deres arbejdsgange, og det giver leverandørerne en klar kontakt at svare.
Det skriftlige mandat beskytter også ledelsen. Det viser, at arbejdet med sikkerhed er organiseret, og at nogen har fået en klar opgave. For virksomheder omfattet af NIS2 kan det indgå i dokumentationen for, hvordan ledelsesorganet fører tilsyn med foranstaltningerne.
Opgaverne, rollen ejer
Mandatet bør begynde med en liste over de opgaver, CISO’en har ansvaret for. En typisk liste:
- Risikovurdering og en opdateret risikoliste.
- Sikkerhedsstrategi og en prioriteret handlingsplan.
- Udkast til politikker og regler, som ledelsen godkender.
- Sikkerhedskrav til leverandører og opfølgning på dem.
- Forberedelse af beredskabet og ledelsens del af beredskabsplanen.
- Svar på sikkerhedsspørgsmål fra kunder og forsikring i samarbejde med ledelsen.
- Rapportering til direktion og bestyrelse.
Lige så vigtigt er det at skrive, hvad CISO’en ikke ejer. Drift, overvågning, test og tekniske ændringer ligger hos IT-leverandøren eller andre specialister. Juridisk rådgivning ligger hos advokaten. Grænserne er beskrevet under CISO as a Service.
Beslutningsret i tre trin
Det mest konkrete i mandatet er beskrivelsen af, hvad CISO’en må beslutte. En enkel model har tre trin:
- CISO’en beslutter alene · fx at bede en leverandør om dokumentation, indkalde til et opfølgningsmøde, opdatere risikolisten, give en medarbejder en anvisning om sikker adfærd eller iværksætte de første trin i beredskabsplanen.
- CISO’en indstiller, direktøren beslutter · fx nye krav i en leverandøraftale, indkøb inden for et godkendt budget, valg af nyt system eller midlertidige undtagelser fra en regel.
- Ledelsesorganet beslutter · fx godkendelse af sikkerhedsforanstaltningerne og politikken, accept af væsentlige risici, det årlige budget og den overordnede strategi.
Trin tre kan ikke flyttes til CISO’en. Efter NIS2-loven § 7 skal foranstaltningerne godkendes af ledelsesorganet, som også fører tilsyn med gennemførelsen. Hvordan ledelsen kan uddelegere arbejdet uden at give ansvaret fra sig, uddybes i Kan ledelsen uddelegere NIS2-arbejdet til en CISO?
Adgang til direktion og bestyrelse
En CISO, der kun kan tale med IT-leverandøren eller en mellemleder, får svært ved at påvirke noget. Mandatet bør give ret til:
- Faste møder med direktøren, typisk hver måned.
- At sætte sikkerhed på dagsordenen til bestyrelsesmøder efter en aftalt rytme.
- At gå direkte til bestyrelsesformanden, hvis CISO’en vurderer, at en væsentlig risiko ikke bliver håndteret.
Den sidste ret bruges sjældent, men den er vigtig. Den sikrer, at CISO’en kan sige fra, også når det er ubekvemt for direktionen. Hvem CISO’en refererer til, og hvad det betyder for uafhængigheden, er beskrevet i Hvem refererer CISO til, når rollen er ekstern?
Adgang til oplysninger og systemer
For at kunne vurdere sikkerheden skal CISO’en have indsigt. Mandatet bør give ret til at se aftaler med leverandører, teknisk dokumentation, lograpporter, hændelsesrapporter og tidligere vurderinger. Det bør også fastslå, at leverandørerne skal svare CISO’en på samme måde, som de ville svare direktøren.
Adgang til at se er noget andet end adgang til at ændre. En ekstern CISO har sjældent brug for administratorrettigheder i jeres systemer, og det er en fordel for sikkerheden, at det holdes adskilt.
Når mandatet skal justeres
Se mandatet igennem en gang årligt og ved større ændringer, fx når virksomheden bliver omfattet af NIS2, får en ny driftsleverandør eller vokser betydeligt. Gennemgangen kan være et fast punkt i årshjulet for sikkerhedsarbejdet.
Et eksempel på mandatet i brug
En produktionsvirksomhed med 40 ansatte har givet sin eksterne CISO et mandat på halvanden side. En dag opdager CISO’en, at en leverandør af produktionsudstyr har fjernadgang til et anlæg uden totrinsgodkendelse. Efter mandatet må CISO’en selv bede leverandøren om at lukke adgangen, indtil den kan sikres. Leverandøren foreslår i stedet en ny løsning til fjernadgang, som koster penge. Det ligger på trin to, så CISO’en skriver en kort indstilling til direktøren, som beslutter samme uge. Ingen er i tvivl om, hvem der må hvad, og sagen bliver løst uden at vente på næste bestyrelsesmøde.
Det skal I lade være med
- At nøjes med en mundtlig aftale · ingen kan pege på, hvad der blev aftalt, når der opstår tvivl.
- At give et blankt mandat · CISO’en kan ikke bære ledelsens ansvar, og et for bredt mandat skaber falsk tryghed.
- At gemme mandatet for leverandørerne · de skal vide, hvad CISO’en må bede om.
- At lade mandatet stå uændret i årevis · virksomheden og kravene ændrer sig.
Det skal I kræve af den eksterne
- ☐ Et udkast til mandat, som I kan tilpasse og godkende.
- ☐ En klar opdeling i det, CISO’en beslutter, indstiller og overlader til ledelsen.
- ☐ Respekt for grænsen til drift og juridisk rådgivning.
- ☐ Brug af mandatet i dialogen med leverandører.
- ☐ Et forslag til årlig gennemgang af mandatet.
Skriv de tre seneste sikkerhedsbeslutninger ned, som virksomheden har truffet, og hvem der traf dem. Overvej, på hvilket trin de hører hjemme. Øvelsen afslører hurtigt, hvor beslutningerne i dag bliver truffet tilfældigt, og giver grundlaget for mandatet. Forløbet for et samarbejde er beskrevet under sådan foregår det, og ledelsens pligter under NIS2 og ledelsens ansvar.
Kilder
- NIS2-loven på retsinformation.dk: § 7, stk. 1, hvor godkendelsen og tilsynet placeres hos ledelsesorganet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra rådgiver til ansvarlig · Hvem refererer CISO til?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
