Risikovurdering og sikkerhedsstrategi
En risikovurdering fortæller ledelsen, hvad der kan ramme virksomheden, hvor hårdt det vil ramme, og hvad det koster at gøre noget ved det. Sikkerhedsstrategien er ledelsens svar: hvilke risici der skal nedbringes, i hvilken rækkefølge, og hvilke der accepteres. Tilsammen gør de cybersikkerhed til et beslutningsgrundlag på linje med andre forretningsrisici. Det er her, en CISO bruger en stor del af sin tid, fordi resten af arbejdet bygger ovenpå. Både kravene til leverandørerne og planen for beredskab tager udgangspunkt i vurderingen.
Hvad vurderingen skal give ledelsen
En brugbar risikovurdering starter i forretningen. Hvilke processer skal køre, for at virksomheden kan levere? Hvilke systemer og data bærer dem, og hvad sker der, hvis de er væk i en dag eller en uge? Først derefter kommer truslerne og svaghederne.
Forestil jer en produktionsvirksomhed med 40 ansatte. Ordrestyringen ligger i et ERP-system hos en hostingleverandør, tegningerne på et filsystem i huset, og løn og bogholderi i to skytjenester. En vurdering, der kun opregner tekniske svagheder, siger lidt om, hvad der betyder mest. En vurdering, der starter med spørgsmålet om, hvor længe produktionen kan køre uden ordresystemet, giver ledelsen noget at beslutte ud fra.
Resultatet bør kunne læses af en direktør uden teknisk baggrund. Hver risiko beskrives med den konsekvens, den har for forretningen, sandsynligheden og den foreslåede handling.
Risikovillighed og risikoaccept
Ingen virksomhed kan fjerne alle risici, og det er heller ikke målet. Ledelsen skal tage stilling til, hvor meget den er villig til at tåle, og det niveau kaldes risikovillighed. En virksomhed med kunder i kritisk infrastruktur vil typisk tåle mindre nedetid end en mindre handelsvirksomhed.
Når en risiko ligger over det niveau, men ledelsen alligevel vælger at leve med den, er det en risikoaccept. Den bør stå skriftligt, have en ejer og en dato for, hvornår den tages op igen. CISO’ens opgave er at forberede beslutningen med konsekvenserne beskrevet. Selve accepten er ledelsens.
Fra vurdering til prioriteret plan
Planen er bindeleddet mellem vurdering og hverdag. Den viser, hvad der skal ske i det kommende kvartal og det kommende år, hvem der ejer hver opgave, og hvad den kræver af tid og penge. De største risici med de billigste løsninger kommer typisk først, mens tunge projekter planlægges, så de ikke vælter driften.
En god plan er kort nok til, at ledelsen kan følge den fra møde til møde. Status på planen er det naturlige indhold i rapporteringen til bestyrelsen.
Strategi eller indkøbsliste
En sikkerhedsstrategi i en mindre virksomhed kan fylde få sider. Den beskriver, hvad virksomheden vil beskytte, hvor meget risiko den tåler, hvilke principper der gælder for leverandører og adgange, og hvordan arbejdet følges op. Produkter og værktøjer hører hjemme i planen, når der er en risiko, de løser.
Tegnet på en indkøbsliste i forklædning er, at dokumentet opremser løsninger uden at nævne, hvilken risiko hver af dem skal nedbringe. Den slags strategi er svær at prioritere ud fra, fordi alt ser lige vigtigt ud.
Opfølgning og ledelsessystem
Risikobilledet ændrer sig, når virksomheden får nye systemer, nye leverandører eller nye kunder med krav. Derfor gennemgås vurderingen med faste mellemrum og ved større ændringer. Mange vælger at samle arbejdet i et ISMS, et ledelsessystem for informationssikkerhed, der beskriver politikker, vurderinger, roller og opfølgning. Omfanget kan tilpasses virksomhedens størrelse.
En fælles ramme som CIS Controls eller NIST CSF 2.0 kan gøre fremdriften lettere at følge for ledelsen, fordi hvert punkt har en fast plads. Arbejder I mod kundekrav, kan ISO 27001 eller D-mærket være en naturlig ramme, se kundekrav.
For NIS2-omfattede virksomheder kræver lovens § 6 blandt andet politikker for risikoanalyse, og ledelsesorganet skal godkende de foranstaltninger, der følger af den, se NIS2 og ledelsens ansvar. Virksomheder uden for NIS2 er heller ikke fri for at tænke risiko ind i ledelsen. Selskabslovens § 115 pålægger bestyrelsen i kapitalselskaber at påse, at risikostyring og interne kontroller har de procedurer, der er brug for.
Artikler om risiko og strategi
- Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling Et kort dokument med retning, principper og prioriteter.
- Risikovurdering, som ledelsen kan træffe beslutninger på Fra tekniske fund til konsekvenser for forretningen.
- Hvem må acceptere en risiko? Accept som en dokumenteret beslutning med udløbsdato.
- ISMS i en mindre virksomhed: hvor meget er nok? Et ledelsessystem i en størrelse, der passer.
- Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under? Politikken som ledelsens egen udmelding.
- Hvad skal vi gøre først? Prioritering af sikkerhedsarbejdet Rækkefølgen ud fra risiko og forretning.
- CIS Controls og NIST CSF: rammer, som ledelsen kan følge med i Valg af ramme efter behov.
Det skal I lade være med
- At begynde med værktøjerne · uden en vurdering er det sælgerens argumenter, der prioriterer.
- At lade vurderingen ligge i en skuffe · en vurdering, der ikke opdateres, beskriver en virksomhed, der ikke findes længere.
- At acceptere risici mundtligt · en accept uden dato og ejer bliver glemt.
Det skal I kræve af den eksterne
- ☐ En vurdering, der tager udgangspunkt i jeres forretningsprocesser.
- ☐ Konsekvenser beskrevet i tid, kunder og økonomi frem for tekniske termer.
- ☐ En plan med ejere, rækkefølge og datoer.
- ☐ Faste tidspunkter for, hvornår vurderingen tages op igen.
Kilder
- NIS2-loven: § 6, stk. 1, nr. 1, kræver politikker for risikoanalyse og informationssystemsikkerhed.
- Selskabsloven: LBK nr. 331 af 20. marts 2025. § 115, stk. 1, nr. 2, handler om risikostyring og interne kontroller.
Senest gennemgået: november 2026.
Flere artikler om risiko, politikker og kultur
- Risikoanalysemetode: sådan bliver vurderingerne sammenlignelige år for år
- Sikkerhed ved anskaffelse og udvikling af systemer: ledelsens krav
- Forvaltning af aktiver: overblik over systemer, data og udstyr
- Awareness-træning: hvad ledelsen skal bestille og følge op på
- Sikkerhedsregler for medarbejderne: korte, forståelige og godkendt af ledelsen
- Generativ AI i virksomheden: de sikkerhedsregler, ledelsen skal fastsætte
- Hjemmearbejde og rejser: sikkerhedsregler, ledelsen skal godkende
- Direktørsvindel: godkendelsesregler for betalinger, som også ledelsen følger
- Politik, retningslinjer og procedurer: hvilke dokumenter hører hvor?
- Hvem ejer hvilket sikkerhedsdokument?
- Dataklassifikation: hvem bestemmer, hvad der er fortroligt?
- Undtagelser fra sikkerhedsreglerne: hvem må give dem, og hvor længe?
- Hvor ofte skal sikkerhedspolitikkerne gennemgås?
- Sikkerhedsledelse i engros og distribution: ERP, ordrer og kundernes krav
- MFA og backup er på plads: hvad mangler så?
- Sikkerhedsbudgettet: hvordan ledelsen vurderer, om det står mål med risikoen
Næste skridt
Læs også: Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling · Hvem må acceptere en risiko?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
