Økonomichefen og sikkerhedsansvaret

I mange mindre og mellemstore virksomheder er det økonomichefen, der har IT-leverandøren, forsikringen og kontrakterne på sit bord, og dermed også sikkerheden. Det giver mening på flere punkter, fordi økonomi i forvejen arbejder med kontroller, godkendelser og dokumentation. Fem emner lander typisk hos økonomichefen: reglerne for betalinger, budgettet til sikkerhed, cyberforsikringen, leverandørernes revisorerklæringer og overblikket over de krav, virksomheden skal leve op til. Siden samler de fem og viser, hvor en ekstern CISO kan tage over, og hvor ledelsen skal beslutte.

Når sikkerheden ender i økonomifunktionen

Økonomichefen arver ofte sikkerheden, fordi ingen andre har tid til den, og fordi den følger med leverandøraftalerne. Risikoen er, at opgaven bliver behandlet som en række indkøb og fornyelser, uden at nogen vurderer helheden. Ansvaret for sikkerheden ligger hos ledelsen, og i en virksomhed under NIS2 hos ledelsesorganet, der både godkender foranstaltningerne og følger, at de bliver gennemført. Det er beskrevet på NIS2 og ledelsens ansvar. Økonomichefen kan forberede og følge op, men bør have en, der fagligt kan vurdere, om leverandørernes svar holder.

Betalinger og ændrede kontonumre

Falske betalingsanmodninger og beskeder om nye kontonumre er svindel, der rammer økonomifunktionen direkte. Værnet er få faste regler, som direktionen fastsætter og selv følger: et nyt kontonummer godkendes aldrig ud fra en mail alene, bekræftelse via et nummer, I selv har fundet, og to personer på betalinger over en fastsat grænse. Økonomichefen ejer reglerne i det daglige. CISO’en vurderer, om de tekniske værn på mail og konti understøtter dem. Reglerne indgår også i arbejdet med medarbejdere og sikkerhedskultur.

Budgettet til sikkerhed

Et sikkerhedsbudget bør kunne føres tilbage til de risici, ledelsen har vurderet, og til den plan, den har godkendt. Sammenligninger med, hvad andre bruger, siger lidt om jeres behov. Det spørgsmål, økonomichefen kan stille hver post, er, hvilken risiko den nedbringer, og hvad der sker, hvis den skæres væk. Budgettet til sikkerhed hører sammen med risikovurderingen, mens det almindelige IT-budget til drift og licenser er et andet emne, som siden her ikke dækker.

Cyberforsikringen

Forsikringsselskabets spørgeskema udfyldes ofte i økonomi, fordi det følger med fornyelsen. Svarene om MFA, backup, opdateringer og beredskab skal holde den dag, der anmeldes en skade, så de bør kontrolleres af den, der kender den tekniske virkelighed. Forsikringen hører også med i beredskabsplanen: hvem ringer til selskabet, hvornår, og hvilke eksperter policen forudsætter. Temaet er samlet på cyberforsikring.

Leverandørens revisorerklæring

Mange IT-leverandører kan udlevere en ISAE 3402- eller ISAE 3000-erklæring. Økonomichefen er vant til at læse revisorerklæringer, men en erklæring om IT-kontroller kræver opmærksomhed på andre ting: hvilke ydelser den omfatter, hvilken periode den dækker, om den er af type 1 eller type 2, hvilke forbehold revisor har taget, og hvilke kontroller leverandøren forudsætter, at I selv har på plads. De sidste er lette at overse.

Ét register over kravene

Krav til sikkerheden kommer fra mange sider: NIS2, databeskyttelsesreglerne, kundekontrakter, forsikringens vilkår og eventuelle certificeringer. Et kravregister samler dem med en ejer og en frist for hvert krav, så økonomichefen kan se, hvad der kommer, og hvem der står for det. Registeret er også et godt grundlag, når kunder spørger, og hænger tæt sammen med siden om kundekrav.

Artikler til økonomichefen

• Direktørsvindel: godkendelsesregler for betalinger, som også ledelsen følger Reglerne for betalinger og samarbejdet mellem økonomi og CISO.
• Sikkerhedsbudgettet: hvordan ledelsen vurderer, om det står mål med risikoen Budgettet koblet til risikovurdering og plan.
• Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på Emnerne i skemaet, og hvem der står inde for svarene.
• Cyberforsikringen i beredskabsplanen: hvem ringer I til først? Anmeldelse, udpegede eksperter og kontaktlisten.
• IT-leverandørens ISAE 3402- eller 3000-erklæring: det, ledelsen skal læse i den Omfang, periode, type og kontrollerne hos jer selv.
• Hvilke sikkerhedskrav gælder for os? Ét register over lov, kunder og forsikring Krav, ejer og frist samlet ét sted.

Det skal I lade være med

• At lade fornyelser styre sikkerhedsarbejdet · datoerne for forsikring og kontrakter er en dårlig prioritering.
• At godkende en betaling, fordi den ser ud til at komme fra direktøren · reglen skal gælde alle.
• At arkivere leverandørens erklæring ulæst · forbeholdene og jeres egne kontroller står inde i den.

Det skal I kræve af den eksterne

• ☐ En gennemgang af betalingsreglerne og de tekniske værn, der understøtter dem.
• ☐ Et budgetforslag, hvor hver post peger på en risiko i vurderingen.
• ☐ Kontrol af forsikringens spørgeskema før underskrift.
• ☐ En kort vurdering af hver leverandørerklæring med de kontroller, I selv skal have.
• ☐ Et kravregister med ejere og frister.

Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kilder

• NIS2-loven: § 7, hvorefter ledelsesorganet godkender foranstaltningerne og fører tilsyn med gennemførelsen.

Senest gennemgået: november 2026.

Næste skridt

• Direktørsvindel: godkendelsesregler for betalinger
• Sikkerhedsbudgettet

Læs også: Cyberforsikring og sikkerhedsarbejdet · Når kunderne stiller sikkerhedskrav

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT