Medarbejdere og sikkerhedskultur som ledelsesopgave

Sikkerhedskultur er summen af de små valg, medarbejderne træffer hver dag: om de klikker, spørger, melder eller lader være. Ledelsen former de valg gennem de regler, den fastsætter, den træning, den bestiller, og især gennem den måde, den selv opfører sig på. Det er derfor en ledelsesopgave at bestemme, hvad medarbejderne skal kunne, hvordan de melder noget mistænkeligt, og hvad der sker med adgangene, når nogen skifter job eller stopper. En ekstern CISO kan skrive udkastene og følge op, mens beslutningerne og eksemplet ligger hos direktionen.

Det, loven lægger på ledelsen

Blandt minimumskravene i NIS2-lovens § 6, stk. 1, står grundlæggende cyberhygiejne og cybersikkerhedsuddannelse (nr. 7) og personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver (nr. 9). Lovens § 7, stk. 2, pålægger medlemmerne af ledelsesorganet at deltage i relevante kurser og at tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte. For virksomheder uden for NIS2 er der ingen tilsvarende pligt, men kunder og forsikringsselskaber spørger ofte til de samme emner. Hvordan pligterne hænger sammen med resten af ledelsens ansvar, står på NIS2 og ledelsens ansvar.

Regler, medarbejderne kan huske

Medarbejderregler virker, når de er få, konkrete og skrevet til den, der skal følge dem. Politikken, som ledelsen godkender, fastlægger principperne. Reglerne til medarbejderne oversætter dem til handlinger: hvordan adgangskoder og MFA bruges, hvilke oplysninger der må lægges i hvilke tjenester, hvordan der arbejdes hjemmefra og på rejser, og hvem der må give en undtagelse. Generativ AI er et emne, hvor reglerne hurtigt halter efter brugen, så det bør have sit eget afsnit med en navngiven person, der godkender nye værktøjer.

Træning med et formål

Ledelsen bestiller træningen og fastsætter, hvem der skal have hvad og hvor ofte. Økonomi, ledere og medarbejdere med udvidede adgange har brug for mere end de øvrige. Spørgsmålet ved opfølgningen er, om adfærden ændrer sig, og her siger antallet af gennemførte moduler mindre end antallet af meldinger og spørgsmål. Overvejer I at teste medarbejderne med falske phishingmails, er det beskrevet på sikkerhedstesten.dk, hvornår en test af medarbejdernes adfærd giver mening.

Meldevejen og ledelsens reaktion

Den vigtigste enkeltbeslutning om kulturen er, hvordan der reageres på den, der melder. Én enkel meldevej, et hurtigt svar og en tak gør det lettere at melde næste gang, mens skæld ud eller tavshed lærer folk at holde fejl for sig selv. Meldingerne er samtidig den første kilde i hændelseshåndteringen, så meldevejen hører med i beredskabet.

Fra første til sidste arbejdsdag

Personalesikkerhed følger medarbejderen gennem hele ansættelsen: fortrolighed ved start, de rigtige adgange til rollen, tilpasning ved rolleskift og lukning af alt ved fratræden. Ansvaret er delt mellem nærmeste leder, HR og IT-leverandøren, og det er netop delingen, der giver huller. Ledelsen bør derfor kræve en kvittering for, at adgangene er lukket, også hos de leverandører, hvor medarbejderen havde egen konto. Kravene til leverandørernes del står under leverandørstyring.

Betalinger og direktørens eget eksempel

Svindel med falske betalingsanmodninger rammer økonomifunktionen, men lykkes ofte, fordi beskeden ser ud til at komme fra direktøren. Reglerne for betalinger og ændring af kontonumre skal derfor gælde for ledelsen selv, og medarbejderne skal vide, at de må og skal bede direktøren om en bekræftelse. Den side af sagen er uddybet for økonomichefen.

Artikler om medarbejdere og kultur

• Personalesikkerhed: fra ansættelse til sidste arbejdsdag Roller med særlig adgang, fortrolighed og ansvar ved rolleskift.
• Awareness-træning: hvad ledelsen skal bestille og følge op på Formål, målgrupper og rytme.
• NIS2 og medarbejdernes kurser: hvad betyder det, at ledelsen skal tilskynde? Ledelsens egen kursuspligt og pligten over for de ansatte.
• Hvordan får vi medarbejderne til at melde det mistænkelige? Meldevej, respons og ledelsens reaktion.
• Sikkerhedsregler for medarbejderne: korte, forståelige og godkendt af ledelsen Hvad der hører i reglerne, og hvordan de introduceres.
• Når en medarbejder stopper: adgange, udstyr og viden Fordelingen mellem leder, HR og IT-leverandør.
• Sikkerhedskultur: de tegn, ledelsen kan følge med i Enkle tegn frem for scorer.
• Generativ AI i virksomheden: de sikkerhedsregler, ledelsen skal fastsætte Oplysninger, tjenester og godkendelse af nye værktøjer.
• Hjemmearbejde og rejser: sikkerhedsregler, ledelsen skal godkende Opgaver, udstyr og undtagelser uden for kontoret.
• Direktørsvindel: godkendelsesregler for betalinger, som også ledelsen følger Regler for betalinger, som også gælder direktionen.

Det skal I lade være med

• At give medarbejderne skylden, når et angreb lykkes · det lærer de andre at tie.
• At købe et kursus og betragte sagen som afsluttet · træningen skal gentages og følges op.
• At lade ledelsen være undtaget fra reglerne · undtagelser øverst bliver hurtigt kendt i hele huset.

Det skal I kræve af den eksterne

• ☐ Medarbejderregler på få sider, som ledelsen har godkendt.
• ☐ En træningsplan med målgrupper, rytme og opfølgning.
• ☐ En meldevej, der er afprøvet, og som alle kender.
• ☐ En procedure for fratræden med kvittering fra leverandørerne.
• ☐ Enkle tegn på kulturen i rapporten til ledelsen.

Kilder

• NIS2-loven: § 6, stk. 1, nr. 7 (cyberhygiejne og cybersikkerhedsuddannelse) og nr. 9 (personalesikkerhed, adgangskontrol og aktiver), § 7, stk. 2 (kurser for ledelsen og de øvrige ansatte).

Senest gennemgået: november 2026.

Næste skridt

• Awareness-træning: hvad ledelsen skal bestille og følge op på
• Hvordan får vi medarbejderne til at melde det mistænkelige?

Læs også: Sikkerhedskultur: de tegn, ledelsen kan følge med i · Risikovurdering og sikkerhedsstrategi

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT