Når en medarbejder stopper, skal tre parter løse hver sin del: lederen sikrer, at viden og opgaver bliver overdraget, HR melder fratrædelsen og datoen, og IT-leverandøren lukker adgangene og tager imod udstyret. Arbejdsgangen virker kun, hvis den er beskrevet, og hvis nogen bagefter kontrollerer, at den er fulgt. CISO-rollen skriver arbejdsgangen, aftaler leverandørens del og sammenligner med faste mellemrum listen over fratrådte med listen over aktive konti. Ledelsen godkender ansvarsfordelingen og får en kort bekræftelse på, at adgangene er lukket.
Hvorfor fratrædelser giver huller
Adgange, der ikke bliver lukket, er en kendt svaghed. En tidligere medarbejders konto kan misbruges, hvis koden er lækket, og ingen opdager det, fordi ingen længere bruger kontoen. Den samme risiko gælder konsulenter, vikarer og praktikanter, som ofte ikke er registreret i HR på samme måde som faste ansatte.
Hullerne opstår, fordi hver part tror, at en anden har gjort det. HR går ud fra, at IT får besked fra lederen. Lederen går ud fra, at HR har sendt den. IT-leverandøren lukker det, der står i sagen, men kender ikke de tjenester, afdelingen selv har tilmeldt sig. NIS2-loven nævner personalesikkerhed og adgangskontrol i § 6, stk. 1, nr. 9, og arbejdsgangen ved fratrædelse er en del af begge. Hvordan personalesikkerheden ser ud i hele ansættelsen, står i Personalesikkerhed.
Lederens del
Lederen kender medarbejderens opgaver og bør stå for:
- At få overdraget igangværende sager, dokumenter og aftaler til en kollega.
- At få flyttet ejerskabet af delte mapper, kalendere og grupper.
- At pege på tjenester, medarbejderen har brugt i jobbet, som IT ikke nødvendigvis kender, fx leverandørportaler, sociale medier og webshoppens administration.
- At få ændret fælles koder, som medarbejderen har kendt, fx til alarmanlæg eller en delt leverandørkonto.
Viden, der kun findes i et hoved, er svær at overdrage på den sidste dag. Lederen bør starte overdragelsen, så snart opsigelsen er kendt. En kort tjekliste, som HR sender med beskeden om fratrædelsen, gør det lettere for lederen at få alle punkterne med.
HR’s del
HR er det sted, hvor fratrædelsen først bliver officiel, og bør derfor sende den formelle besked til IT med navn og den præcise dato og tid for lukning. HR minder også medarbejderen om den fortrolighed, der gælder efter ansættelsen. Styrelsen for Samfundssikkerhed (SAMSIK) anbefaler i sit afsnit om personalesikkerhed, at ansvar og pligter for sikkerheden, der fortsat gælder efter ansættelsens ophør, bør være defineret, kommunikeret og forstået.
Ved en bortvisning eller en fratrædelse i konflikt skal adgangen typisk lukkes samtidig med, at medarbejderen får besked. Den situation kræver en særlig aftale med leverandøren om, at lukningen kan ske med kort varsel. Det ansættelsesretlige forløb hører hos HR og eventuelt en advokat.
IT-leverandørens del
Leverandøren lukker konti, fjerner medarbejderen fra MFA og grupper, spærrer fjernadgang og tager imod udstyr. Hvad der skal ske med mailkassen, fx viderestilling i en periode eller lukning, bør være besluttet på forhånd af virksomheden og ikke af leverandøren i den enkelte sag.
Leverandørens opgave og svartid bør stå i aftalen, fx at almindelige fratrædelser lukkes ved arbejdstids ophør den sidste dag, og at hasteforløb kan klares inden for en time. Hvordan kravene skrives ind, står i Sikkerhedskrav til jeres IT-leverandør, og opfølgningen i Opfølgning på leverandøren.
Udstyret
Computere, telefoner, adgangskort, nøgler og eventuelle USB-nøgler til login skal afleveres. SAMSIK nævner, at interne og eksterne medarbejdere bør returnere eller uigenkaldeligt slette udleveret udstyr, når ansættelses- eller kontraktforholdet ophører. En liste over udleveret udstyr pr. person gør afleveringen let at kontrollere, og listen kan hentes fra aktivforvaltningen. Eksterne personer kræver en særlig aftale. Når en konsulent fra en leverandør stopper på opgaven, er det ofte leverandøren, der ved det først. Aftaler med leverandører, hvis medarbejdere har personlige konti hos jer, bør derfor indeholde en pligt til at melde, når en person ikke længere arbejder på jeres opgaver.
Bruger medarbejderen sin egen telefon til arbejdsmail, skal virksomhedens data fjernes fra den, og det bør være aftalt ved ansættelsen, hvordan det foregår.
Bekræftelsen til ledelsen
Ledelsen har brug for en fast kontrol frem for at følge hver enkelt fratrædelse. En enkel metode er, at CISO-rollen en gang om måneden sammenligner HR’s liste over fratrådte med leverandørens liste over aktive konti og rapporterer afvigelser. I tilsynsrapporten til ledelsen kan det stå som et enkelt tal: antal fratrædelser i perioden, og hvor mange af dem der havde åbne adgange efter den aftalte dato.
I en revisionsvirksomhed med 35 ansatte og sæsonhjælp i årsregnskabsperioden kan kontrollen vise, at vikarernes konti bliver liggende, fordi de aldrig blev registreret i HR. Løsningen er at oprette vikarer med en slutdato fra starten. Den tilføjelse hører hjemme i adgangskontrolpolitikken.
Det skal I lade være med
- At gå ud fra, at nogen har sagt det til IT. Beskeden skal have en fast afsender.
- At glemme konsulenter, vikarer og praktikanter. De er sjældent på HR’s lister.
- At lade leverandøren beslutte, hvad der sker med mailkassen. Det er en forretningsbeslutning.
- At beholde fælles koder efter en fratrædelse. De skal skiftes.
- At stole på arbejdsgangen uden kontrol. Først sammenligningen af lister viser, om den virker.
Det skal I kræve af den eksterne
- ☐ En beskrevet arbejdsgang med lederens, HR’s og leverandørens opgaver.
- ☐ En aftale med leverandøren om lukketid ved almindelige fratrædelser og ved hasteforløb.
- ☐ En tjekliste til lederen med overdragelse, tjenester og fælles koder.
- ☐ En månedlig sammenligning af fratrådte og aktive konti.
- ☐ Et tal i tilsynsrapporten, der viser, om adgangene lukkes til tiden.
Sådan kommer I i gang
Bed IT-leverandøren om en liste over alle aktive konti, og lad HR markere dem, der tilhører personer, som ikke længere er ansat. Resultatet viser, om arbejdsgangen holder i dag, og giver den eksterne CISO et konkret udgangspunkt for at skrive den om.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 9 (personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 9.a om pligter efter ansættelsens ophør og 9.c om returnering eller sletning af udleveret udstyr.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Personalesikkerhed: fra ansættelse til sidste arbejdsdag · Sikkerhedsregler for medarbejderne
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
