Sådan forløber et samarbejde med en ekstern CISO

Et samarbejde med en ekstern CISO går gennem tre faser. Først kommer en sikkerhedsgennemgang, som viser, hvor virksomheden står. Gennemgangen munder ud i en plan, hvor anbefalingerne er ordnet efter risiko og betydning for forretningen, og som ledelsen tager stilling til. Derefter arbejder CISO’en sammen med jer måned for måned inden for en fast timeramme, mens større opgaver som et ISMS eller forberedelse til NIS2 løses som selvstændige projekter. Siden her beskriver, hvad der sker i hver fase, og hvad der hører til ledelsens bord.

Inden gennemgangen: mandat og kontaktperson

Før arbejdet går i gang, skal to ting være aftalt. Den første er mandatet, altså hvad CISO’en må undersøge, hvem der må kontaktes, og hvilke beslutninger rollen kan træffe uden at gå til direktionen. Den anden er en intern kontaktperson, som kan åbne døre, finde aftaler frem og svare på spørgsmål om hverdagen.

Det er også her, adgange bliver aftalt. CISO’en har brug for at læse aftaler, systemoversigter og tidligere rapporter, men sjældent for administratorrettigheder. Jo mere afgrænset adgangen er, desto lettere er den at lukke igen. Hvad mandatet konkret bør rumme, står i Hvilket mandat skal en ekstern CISO have?.

Gennemgangen: et billede af, hvor I står

Gennemgangen kortlægger virksomhedens systemer, de leverandører, der har adgang til dem, aftalerne med leverandørerne og den ansvarsfordeling, der gælder i praksis. Den ser også på de politikker og planer, der allerede findes, på krav fra kunder og forsikring og på, om virksomheden er omfattet af NIS2.

Tag den tænkte produktionsvirksomhed med 40 ansatte og tre leverandører. En gennemgang vil typisk afdække, hvem der ejer sikkerhedskopierne, hvem der får besked, når en medarbejder stopper, og om nogen har testet, at driften kan genstartes efter et angreb. Svarene findes ofte spredt hos leverandørerne, og gennemgangen samler dem ét sted.

Resultatet er en rapport med anbefalinger. Den er skrevet til ledelsen og forklarer for hvert punkt, hvad der kan gå galt, og hvad det vil betyde for driften, kunderne eller økonomien. Hvordan fund bliver til noget, ledelsen kan beslutte på, er uddybet i Risikovurdering, som ledelsen kan træffe beslutninger på.

Planen: ledelsen vælger rækkefølgen

Anbefalingerne bliver til en plan for de næste tolv måneder. Planen viser, hvad der tages først, hvad der kan vente, og hvilke risici ledelsen vælger at leve med indtil videre. CISO’en foreslår rækkefølgen, men det er direktionen, og hvor det er relevant bestyrelsen, der godkender den.

For en NIS2-omfattet virksomhed er godkendelsen mere end en formalitet. Loven lægger det på ledelsesorganet at godkende foranstaltningerne og at følge med i, hvordan de gennemføres. En plan, der er drøftet og godkendt på et møde med referat, er derfor også dokumentation for ledelsens tilsyn. Hvordan rækkefølgen kan lægges, står i Hvad skal vi gøre først? Prioritering af sikkerhedsarbejdet.

Den faste rytme hver måned

Når planen er på plads, overgår samarbejdet til en fast rytme med et aftalt antal timer om måneden. Timerne bruges på det, der holder planen i gang:

• Statusmøde med den interne kontaktperson · fremdrift, nye spørgsmål og forhold, der har ændret sig.
• Dialog med IT-leverandørerne · opfølgning på aftalte tiltag og på hændelser, der har været.
• Spørgsmål udefra · spørgeskemaer fra kunder, forsikringens fornyelse og henvendelser fra myndigheder.
• Rapportering til ledelsen · en kort status, som direktion og bestyrelse kan handle på.

Over året samles de tilbagevendende punkter i et årshjul, så risikovurdering, politikgennemgang, øvelse og leverandørmøder ikke bliver glemt. Opbygningen af årshjulet er beskrevet i Årshjul for sikkerhedsarbejdet i ledelsen, og formen på rapporten i Sikkerhedsrapport til bestyrelsen: én side, der kan bruges.

Projekter ved siden af rytmen

Nogle opgaver er for store til de faste timer. Det gælder opbygningen af et ledelsessystem for informationssikkerhed (ISMS), forberedelse til NIS2, en beredskabsplan med tilhørende øvelse og forberedelsen af ISO 27001 eller D-mærket. Den slags aftales som projekter med eget omfang, egen tidsplan og egen afslutning. På den måde bliver de faste timer ikke spist op, og ledelsen kan se, hvad hvert projekt har kostet i tid. Hvor meget et ISMS bør fylde i en mindre virksomhed, er behandlet i ISMS i en mindre virksomhed: hvor meget er nok?.

Når der sker en hændelse

Rammes virksomheden af en sikkerhedshændelse, er det IT-leverandøren eller en specialist i hændelseshåndtering, der arbejder i systemerne. CISO’ens opgave er at støtte ledelsen i de beslutninger, der kommer i de første timer: hvem der skal orienteres, om driften skal lukkes ned, og hvad der siges til kunder og medarbejdere. For NIS2-omfattede virksomheder hører det også med at vurdere, om hændelsen er væsentlig, for så skal den kompetente myndighed og CSIRT’en have en tidlig varsling inden for 24 timer, regnet fra det tidspunkt, hvor hændelsen blev kendt (§ 12 og § 13). Ledelsens rolle i de første timer er gennemgået i De første timer efter en sikkerhedshændelse: ledelsens beslutninger.

Spørgsmål om selve aftalen, opstarten og afslutningen af et eksternt samarbejde er samlet på ekstern-it-ledelse.dk. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Sådan ser I, at det virker

Efter nogle måneder bør ledelsen kunne se, at sikkerhedsarbejdet flytter sig. De tydeligste tegn er, at planens punkter bliver lukket til de aftalte datoer, at leverandørernes svar bliver mere konkrete, og at kunderne får de samme svar på de samme spørgsmål. En fast liste med spørgsmål til kvartalsmødet gør det lettere at se udviklingen, og den findes i Spørgsmål, direktøren bør stille sin CISO hvert kvartal. En gang om året samler ledelsen billedet og tager stilling til, om foranstaltningerne virker, som beskrevet i Hvordan ledelsen vurderer, om foranstaltningerne virker.

Rytmen og tilgængeligheden i en aftale, hvor rollen kun fylder en del af tiden, er gennemgået i Fractional CISO: sikkerhedsledelse i en brøkdel af tiden. Og bliver I i tvivl om, hvorvidt timerne går til dokumenter eller til beslutninger, giver Er en ekstern CISO mest papirarbejde? et grundlag for at spørge. Hvad der bør være sket i de første måneder af et eksternt samarbejde, er beskrevet på ekstern-it-ledelse.dk.

Det skal I lade være med

• At springe gennemgangen over · uden et fælles billede af udgangspunktet bliver planen et gæt.
• At lade CISO’en godkende sin egen plan · prioriteringen er ledelsens beslutning og skal stå i et referat.
• At bruge de faste timer på et stort projekt · så går den løbende opfølgning i stå.
• At give bredere adgange end opgaven kræver · læseadgang til dokumentation er som regel nok.

Det skal I kræve af den eksterne

• ☐ En rapport efter gennemgangen, som ledelsen kan læse uden tekniske forudsætninger.
• ☐ En plan med prioriteter, ansvarlige og datoer, som ledelsen kan godkende.
• ☐ En fast rapportering med samme opbygning hver gang, så udviklingen kan følges.
• ☐ Klar adskillelse mellem de faste timer og projekter med eget omfang.
• ☐ En aftale om, hvordan dokumentation og adgange overdrages, når samarbejdet slutter.

Kilder

• Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om ledelsesorganets godkendelse og tilsyn, § 12 og § 13 om varsling og underretning ved væsentlige hændelser.

Senest gennemgået: november 2026.

Når samarbejdet er i gang

• Fractional CISO: sikkerhedsledelse i en brøkdel af tiden
• Bliver sikkerhedsarbejdet nogensinde færdigt?
• Er en ekstern CISO mest papirarbejde?

Næste skridt

• Hvilket mandat skal en ekstern CISO have?
• Risikovurdering og sikkerhedsstrategi

Læs også: Hvad er CISO as a Service? · Spørgsmål og svar om ekstern CISO

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT