Har I styr på sikkerhedsledelsen? 12 spørgsmål til direktionen
Selvtesten giver direktionen et hurtigt billede af, om sikkerhedsarbejdet bliver ledet, eller om det i praksis passer sig selv. Svar ja eller nej på de tolv spørgsmål nedenfor. Et ja tæller kun, hvis I kan vise noget på skrift: et dokument, et referat eller en aftale. Hvert nej peger på en artikel, der forklarer, hvad der skal på plads, og hvem der bør eje opgaven.
Testen er tænkt til direktør og bestyrelsesformand sammen og tager omkring et kvarter. Den spørger til ledelsen af arbejdet. Om teknikken virker, finder I ud af gennem test og opfølgning hos leverandøren.
Ansvar og retning
- Har én navngiven person ansvaret for at lede sikkerhedsarbejdet, og ved alle hvem? · Hvis nej: Hvem gør hvad i sikkerhedsarbejdet?
- Er der lavet en risikovurdering inden for det seneste år, som ledelsen har set? · Hvis nej: Risikovurdering, som ledelsen kan træffe beslutninger på
- Findes der en prioriteret plan med ansvarlige og datoer? · Hvis nej: Hvad skal vi gøre først?
- Har ledelsen formelt godkendt politikken og foranstaltningerne, og står det i et referat? · Hvis nej: Ledelsen skal godkende og føre tilsyn
Leverandører og drift
- Står der sikkerhedskrav i aftalerne med de leverandører, som kan logge ind i jeres systemer? · Hvis nej: Sikkerhedskrav til jeres IT-leverandør
- Har I inden for det seneste år set en genskabelse fra backup lykkes, og ved I, hvor lang tid den tog? · Hvis nej: Backup og reetablering
- Ved I, hvad jeres IT-leverandør skal gøre for jer, hvis leverandøren selv bliver ramt? · Hvis nej: IT-leverandøren er ramt af et angreb
Når noget sker
- Har I en beredskabsplan, der beskriver ledelsens beslutninger, og kan den findes, når systemerne er nede? · Hvis nej: Beredskabsplan: ledelsens del af planen
- Er det aftalt, hvem der afgør, om en hændelse skal underrettes til myndighederne, og inden for hvilke frister? · Hvis nej: Er hændelsen væsentlig? Hvem i ledelsen beslutter og Frister i sikkerhedsarbejdet
- Ved I, hvem der ringer til forsikringsselskabet, og hvad policen kræver, før I henter hjælp udefra? · Hvis nej: Cyberforsikringen i beredskabsplanen
Ledelsens egen viden og kunderne
- Har medlemmerne af ledelsen gennemført et kursus i styring af cybersikkerhedsrisici? · Hvis nej: NIS2-uddannelse af ledelsen
- Kan I besvare et sikkerhedsspørgeskema fra en kunde med svar, der allerede er godkendt internt? · Hvis nej: Kunden har sendt et sikkerhedsspørgeskema: hvem svarer?
Sådan læser I resultatet
Tolv ja betyder, at strukturen er på plads. Det næste spørgsmål er så, om indholdet holder, og det afgøres bedst ved at følge op hvert kvartal. Se Spørgsmål, direktøren bør stille sin CISO hvert kvartal.
Et eller to nej er almindeligt og kan som regel løses inden for planens næste periode. Skriv dem på som punkter med en ejer og en dato.
Tre eller flere nej tyder på, at ingen har fået opgaven at lede arbejdet. Start med spørgsmål 1, fordi de øvrige punkter sjældent kommer på plads uden en ejer. Hvordan rollen kan dækkes udefra, er forklaret på Hvad er CISO as a Service?.
Et nej til spørgsmål 4, 9 eller 11 har særlig vægt for virksomheder omfattet af NIS2-loven. § 7 lægger godkendelse, tilsyn og kursus hos ledelsesorganet, og §§ 12 og 13 fastsætter underretning og frister ved væsentlige hændelser. Ledelsens pligter er samlet på NIS2 og ledelsens ansvar.
Det skal I lade være med
- At svare ja ud fra en fornemmelse · testen virker kun, hvis hvert ja kan dokumenteres.
- At lade IT-leverandøren udfylde testen · spørgsmålene handler om ledelsens beslutninger, som kun ledelsen kan svare på.
- At rette alle nej på én gang · prioritér efter risiko, og lad resten vente på planen.
Det skal I kræve af den eksterne
- ☐ At hvert nej bliver til et punkt i planen med ejer og dato.
- ☐ At testen gentages efter et år med de samme spørgsmål.
- ☐ At ledelsen får dokumentationen bag hvert ja samlet ét sted.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ti spørgsmål, bestyrelsen bør stille direktionen · MFA og backup er på plads: hvad mangler så?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
