En midlertidig CISO er en erfaren sikkerhedsleder, der dækker rollen i en afgrænset periode. Behovet opstår typisk, når sikkerhedslederen er stoppet, når en kunde sætter en frist for dokumentation, når et tilsyn er på vej, eller når en hændelse viser, at ingen har overblikket. Ledelsen beholder ansvaret i hele perioden. Det, den køber, er en person, der kan samle arbejdet hurtigt og aflevere det ordentligt igen. Artiklen beskriver de fire typiske situationer, hvad de første uger bør bruges til, og hvordan aftalen skrues sammen, så perioden får en ende.
Fire situationer, hvor rollen skal dækkes nu
Den første er den ledige stilling. Den sikkerhedsansvarlige er stoppet, og rekrutteringen tager tid. Hvordan viden og adgange sikres i selve opsigelsesperioden, står i når den interne sikkerhedsansvarlige stopper. Den midlertidige CISO tager over dér, hvor overdragelsen slutter.
Den anden er kundens frist. Et spørgeskema eller et krav i en kontrakt skal besvares inden for få uger, og svarene skal kunne holde, når kunden spørger igen. Her handler perioden om at få styr på grundlaget, før noget bliver lovet på skrift.
Den tredje er myndigheden. Beder den kompetente myndighed om dokumentation, skal nogen kunne samle materialet og forklare, hvad der mangler. Det første skridt er beskrevet i myndigheden beder om dokumentation.
Den fjerde er efterspillet efter en hændelse. Selve håndteringen ligger hos beredskabet og de teknikere, der genopretter. Bagefter står ledelsen med en lang liste af forbedringer og uden en til at prioritere dem.
De første uger
En kort periode skal bruges på det, der ændrer mest. Fire opgaver kommer som regel først:
- Overblik. Hvilke krav gælder, hvilke leverandører har adgang, og hvilke dokumenter findes faktisk? Svarene samles ét sted.
- Status til ledelsen. Et kort notat, der siger, hvad der er på plads, hvad der mangler, og hvad der haster.
- En prioriteret plan. Ledelsen godkender rækkefølgen, så de næste måneder ikke afgøres af den, der råber højest.
- Faste aftaler. En mødekalender med direktionen og IT-leverandøren, så arbejdet har en rytme fra begyndelsen.
Er virksomheden omfattet af NIS2, ligger godkendelsen af foranstaltningerne og tilsynet med dem stadig hos ledelsesorganet efter § 7. Den midlertidige CISO kan forberede beslutningerne, og ledelsen træffer dem. Sammenhængen er uddybet på NIS2 og ledelsens ansvar.
Sådan skrues aftalen sammen
Det, der adskiller en midlertidig opgave fra en løbende, er slutningen. Skriv derfor fra starten, hvad perioden skal efterlade. Aftalen bør som minimum fastlægge:
- Formålet. Hvad skal være på plads, når perioden slutter? Formuler det som få konkrete resultater.
- Varigheden. Et slutpunkt eller en dato for, hvornår ledelsen tager stilling til forlængelse.
- Mandatet. Hvad må personen beslutte, og hvad går til direktionen? Se hvilket mandat en ekstern CISO skal have.
- Adgangen. Hvem i huset er kontaktperson, og hvem giver adgang til dokumenter og leverandører?
- Fortroligheden. En midlertidig CISO ser det samme som en fast, og aftalen skal behandle det ens.
- Afleveringen. Hvem overtager, og hvilke dokumenter skal ligge i virksomhedens egne systemer?
Omfanget aftales efter opgaven. Det første stykke tid fylder arbejdet mest, og det aftager, når grundlaget er lagt. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad må en midlertidig CISO ikke overtage?
Ansvaret kan ikke flyttes med opgaven, og det bør aftalen sige direkte. Det samme gælder risikoaccept: det er ledelsen, der beslutter, hvilke risici virksomheden lever med, og den eksterne forbereder grundlaget. Se hvem der må acceptere en risiko.
Pas også på den midlertidige løsning, der bliver hos IT-leverandøren. Leverandøren kan løse praktiske opgaver i perioden, men den bør ikke føre tilsyn med sin egen leverance. Interessekonflikten er gennemgået i kan IT-leverandøren også være vores CISO?.
Når perioden slutter
Slutningen er en beslutning om, hvordan rollen skal se ud fremover. Tre udfald er almindelige. Virksomheden ansætter en sikkerhedsansvarlig, og den midlertidige CISO overdrager arbejdet. Virksomheden fortsætter med en ekstern CISO på en løbende aftale, fordi opgaven har vist sig at passe til nogle dage om måneden. Eller en intern medarbejder overtager det daglige, mens en ekstern hjælper med få faste punkter om året. Overvejelserne står i ekstern CISO: hvornår giver det mening.
Uanset udfaldet bør ledelsen modtage en kort afleveringsrapport: hvad der er nået, hvad der er åbent, og hvem der ejer det åbne.
Det skal I lade være med
- At vente, til en afløser er ansat · opgaverne i årshjulet stopper ikke, og fristerne fra kunder og myndigheder følger deres egen kalender.
- At aftale perioden uden et slutpunkt · så bliver det midlertidige til en uklar fast ordning.
- At beskrive opgaven som “rydde op” · uden aftalte resultater kan ingen se, om perioden lykkedes.
- At lade viden blive hos den eksterne · dokumenterne skal ligge hos jer, når aftalen slutter.
Det skal I kræve af den eksterne
- ☐ Et kort notat om status inden for de første uger.
- ☐ En prioriteret plan, som ledelsen kan godkende.
- ☐ En skriftlig aftale om formål, varighed, mandat og aflevering.
- ☐ Dokumentation i jeres egne systemer undervejs.
- ☐ Åbenhed om bånd til de leverandører, perioden kommer til at vurdere.
- ☐ En afleveringsrapport med åbne punkter og ejere.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsopgaverne ligger spredt hos IT-folkene · Hvilket mandat skal en ekstern CISO have?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
