Start med det, der kan stoppe forretningen, og med de tiltag, der fjerner meget risiko for lidt indsats. For de fleste mindre virksomheder betyder det overblik over systemer og leverandører, flerfaktor-login, en backup der er testet, opdaterede systemer og en plan for, hvem der gør hvad ved en hændelse. Derefter følger risikovurdering, politik og leverandørkrav, som giver ledelsen styr på helheden. Rækkefølgen skal bygge på jeres egne risici, og den skal besluttes af ledelsen, så den holder, når der kommer nye ønsker undervejs.
Hvorfor rækkefølgen betyder mere end listen
De fleste virksomheder kan godt skrive en lang liste over ting, der burde gøres. Udfordringen er, at listen vokser hurtigere, end den bliver kortere. Når alt er vigtigt, ender indsatsen med at følge det seneste nyhedsindslag, den seneste salgspræsentation eller den kunde, der råber højest.
En prioriteret plan beskytter mod det. Den fastlægger, hvad der kommer først, og hvorfor. Når et nyt ønske dukker op, kan ledelsen se, hvad det i givet fald skubber ud. Hvordan en plan og en indkøbsliste adskiller sig, er uddybet i sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling.
Tre spørgsmål, der sætter rækkefølgen
Hver opgave på listen kan vurderes ud fra tre spørgsmål.
- Hvor meget risiko fjerner den? Et tiltag, der beskytter mod den mest sandsynlige angrebsvej mod jeres vigtigste system, vejer tungt.
- Hvad kræver den? Tid fra medarbejdere, penge til leverandøren og forstyrrelse af driften.
- Er der et krav udefra? En kundekontrakt, en forsikringsbetingelse eller en lovpligt med en frist.
Opgaver, der scorer højt på det første og lavt på det andet, kommer først. Krav udefra kan rykke en opgave frem, men de bør stadig vurderes. Et krav fra en kunde om et bestemt certifikat kan være mindre vigtigt for jeres sikkerhed end en backup, der aldrig er blevet prøvet. Hvordan risikoen vurderes, står i risikovurdering for ledelsen.
Et første år i en mindre virksomhed
Forestil jer et rådgivende ingeniørfirma med 35 ansatte, én driftsleverandør og en håndfuld cloudtjenester. Ingen har haft ansvaret for sikkerheden, og en større bygherre er begyndt at stille spørgsmål. Et første år kunne se sådan ud.
- Første kvartal. Gennemgang af systemer, data og leverandører. Flerfaktor-login på mail og fjernadgang. Kontrol af, at backup kan genskabes. Kort liste over de største risici til direktionen.
- Andet kvartal. Risikovurdering på fælles skala. Informationssikkerhedspolitik godkendt af ledelsen. Simpel beredskabsplan med kontaktliste.
- Tredje kvartal. Sikkerhedskrav til driftsleverandøren skrevet ind i aftalen. Opdateringer og adgangsrettigheder gennemgået. Kort oplæg for medarbejderne.
- Fjerde kvartal. Første ledelsesgennemgang af året. En skrivebordsøvelse i beredskab. Plan for år to.
Tallene og emnerne vil variere, men mønstret er det samme. De hurtige tiltag kommer tidligt, fordi de giver beskyttelse med det samme. De styrende dele kommer bagefter og sikrer, at virksomheden kan holde fast i niveauet. Hvordan samarbejdet med en ekstern CISO typisk forløber over et år, er beskrevet i forløbet med en ekstern CISO.
Det første år handler også om at lære virksomheden at kende. En ekstern CISO opdager typisk forhold undervejs, som ikke var synlige ved gennemgangen, fx en gammel fjernadgang eller en tjeneste, som en afdeling har taget i brug på egen hånd. Planen skal have plads til den slags, og derfor bør hvert kvartal rumme lidt luft til det uforudsete.
Ledelsens rolle i prioriteringen
CISO’en udarbejder forslaget til rækkefølgen. Ledelsen beslutter det. Det kan virke som en formalitet, men det er afgørende for, at planen holder. Når direktionen har godkendt, at backup kommer før en ny hjemmeside, har IT-leverandøren og afdelingslederne et klart grundlag at arbejde ud fra.
For virksomheder under NIS2-loven skal ledelsesorganet desuden godkende de foranstaltninger, virksomheden træffer, og føre tilsyn med, at de bliver gennemført, jf. § 7. En prioriteret plan med datoer og ejere er et naturligt grundlag for både godkendelsen og tilsynet. Hvad det betyder i praksis, er gennemgået i godkendelse og tilsyn efter NIS2.
Budgettet hænger tæt sammen med rækkefølgen. Hvordan budget og prioritering spiller sammen, når der også skal afsættes midler til test, er beskrevet særskilt.
Når planen skal ændres
Rækkefølgen er ikke hugget i sten. Nye trusler, en hændelse hos en leverandør, en ny stor kunde eller et opkøb kan alle ændre billedet. Planen bør derfor gennemgås hvert kvartal. Ændringer besluttes på samme måde som den oprindelige prioritering, så det er tydeligt, hvad der blev rykket, og hvorfor.
Et forløb hos Nielco IT åbner med en gennemgang, der ender i en prioriteret plan, og fortsætter som et fast månedligt samarbejde, hvor planen holdes ved lige.
Ved hver ændring er det værd at spørge, hvad der bliver udskudt. Et nyt kundekrav kan være vigtigt, men hvis det skubber afprøvningen af beredskabsplanen et halvt år, skal ledelsen vide det, når beslutningen træffes. Den slags afvejninger er netop det, en prioriteret plan gør synligt.
Det skal I lade være med
- At starte med det mest synlige. En ny firewall imponerer mere end en testet backup, men gør ofte mindre.
- At lade leverandørens tilbud styre rækkefølgen. Tilbud afspejler, hvad leverandøren kan levere.
- At prioritere alt som højt. Så er der reelt ingen prioritering.
- At glemme de hurtige tiltag, mens strategien skrives. Flerfaktor-login kan ofte indføres på få dage.
- At ændre rækkefølgen uden beslutning. Så mister planen sin værdi som styringsredskab.
Det skal I kræve af den eksterne
- ☐ Et forslag til rækkefølge med begrundelse for hver opgave.
- ☐ Tydelig skelnen mellem hurtige tiltag og længere forløb.
- ☐ Ejer og dato på hver opgave.
- ☐ Kvartalsvis status til direktionen på én side.
- ☐ Anbefalinger, der ikke afhænger af, hvilke produkter rådgiveren tjener på, og helst fra en uden provision fra leverandører.
- ☐ En plan for år to, før år et er slut.
Sådan kommer I i gang
Skriv de ti ting ned, som I tror er vigtigst, og stil de tre spørgsmål til hver af dem. Bed derefter jeres IT-leverandør eller en ekstern CISO om at gøre det samme uafhængigt af jer. Forskellen mellem de to lister giver stof til den første samtale i direktionen. Rammen for det videre arbejde står under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6 om minimumsforanstaltninger og § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISMS i en mindre virksomhed · CIS Controls og NIST CSF
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
