Når den interne sikkerhedsansvarlige stopper

Når virksomhedens sikkerhedsansvarlige siger op, har ledelsen typisk en opsigelsesperiode til at sikre tre ting: den viden, der kun findes hos personen, de adgange og konti, der er knyttet til personen, og fremdriften i sikkerhedsarbejdet, herunder de opgaver, der følger af NIS2. Det kræver en overdragelsesplan, som direktionen godkender i den første uge, og en beslutning om, hvem der holder arbejdet i gang, indtil en afløser er på plads. Ledelsens pligter efter NIS2-loven er de samme, uanset om stillingen er besat.

Hvad der ligger i hovedet på én person

I mange mindre virksomheder er den sikkerhedsansvarlige en IT-medarbejder eller en controller, der har fået opgaven ved siden af sit øvrige arbejde. Over nogle år samler personen en viden, som sjældent er skrevet ned. Det gælder blandt andet:

• hvilke leverandører der har adgang til hvad, og hvem man ringer til hos dem
• hvilke risici ledelsen har accepteret, og hvorfor
• hvilke svar kunderne har fået på deres sikkerhedsspørgeskemaer
• hvor beredskabsplanen ligger, og hvem der står i den
• hvilke undtagelser fra reglerne der er givet, og hvornår de udløber
• hvilke sager der er i gang med leverandører, kunder eller forsikringsselskabet

Ingen af punkterne er hemmelige, men de er spredt i mails, noter og hukommelse. Opsigelsesperioden er den sidste chance for at få dem samlet. Hvordan rollen som sikkerhedsansvarlig kan beskrives, så den er lettere at overdrage næste gang, står i titlen som informationssikkerhedsansvarlig.

Adgange og konti, der følger personen

Den sikkerhedsansvarlige har ofte konti, som ingen andre kender til. Det kan være administratorkonti i systemer, logins til leverandørernes portaler, kontoen hos den kompetente myndighed og flerfaktorlogin bundet til personens egen telefon. Bliver kontoen lukket på sidste arbejdsdag, uden at adgangen er flyttet, kan virksomheden låse sig selv ude.

Overdragelsen af adgange bør derfor være et selvstændigt punkt i planen. For hver konto skal det stå, hvem der overtager den, hvornår det sker, og hvem der bekræfter, at den gamle adgang er lukket. Har personen været kontaktperson i virksomhedens NIS2-registrering, skal oplysningerne opdateres. Efter lovens § 10, stk. 3, skal ændringer i de registrerede oplysninger meddeles den kompetente myndighed senest to uger efter ændringen.

Opsigelsesperioden som overdragelse

En god overdragelsesplan har få punkter og faste datoer. Den kan se sådan ud:

1. Første uge. Ledelsen godkender planen, og personen laver en liste over igangværende sager og faste opgaver.
2. Anden og tredje uge. Personen skriver korte beskrivelser af de vigtigste opgaver og deltager i et møde med hver af de centrale leverandører sammen med den, der overtager kontakten.
3. Midtvejs. Adgange flyttes én ad gangen, og hver flytning bekræftes.
4. Sidste uge. Ledelsen gennemgår listen og ser, hvad der mangler. Det, der mangler, får en ejer.

Bliver personen fritstillet, er tiden kortere, og planen må komprimeres til de vigtigste punkter. Det er en beslutning, ledelsen bør træffe bevidst, fordi fritstilling kan betyde, at vigtig viden går tabt.

Hvem holder NIS2-arbejdet i gang?

Ledelsesorganet skal efter § 7 fortsat godkende foranstaltningerne og føre tilsyn med dem. Opgaverne i årshjulet stopper ikke, fordi stillingen er ledig. Næste rapport til bestyrelsen skal skrives, næste gennemgang af leverandørerne skal holdes, og kundernes spørgsmål skal besvares.

Ledelsen har tre muligheder i perioden. En anden intern medarbejder kan overtage opgaven midlertidigt, hvis personen har tid og indsigt. IT-leverandøren kan overtage dele af det praktiske, men bør ikke have tilsynet med sig selv. Eller en ekstern CISO kan dække rollen, indtil en afløser er ansat, eller som en fast løsning. Fordele og ulemper er gennemgået i hvornår en ekstern CISO giver mening, og hvilken ramme en ekstern bør have, står i mandatet til en ekstern CISO.

Tænk på en logistikvirksomhed med 90 ansatte, hvor IT-koordinatoren har været sikkerhedsansvarlig i fem år og nu siger op med tre måneders varsel. Direktionen godkender en overdragelsesplan i første uge og aftaler med en ekstern CISO, at denne overtager rapporteringen til bestyrelsen og leverandøropfølgningen fra opsigelsesperiodens anden måned. Koordinatoren og den eksterne holder fem møder sammen med leverandørerne. Ved fratrædelsen er alle administratorkonti flyttet, registreringen hos myndigheden er opdateret, og der er en liste over syv åbne sager med nye ejere.

Når afløseren skal findes

Fratrædelsen er en anledning til at se på, om rollen skal se ud som før. Måske har opgaven vokset sig større, end en deltidsfunktion kan bære. Måske passer den bedre som en ekstern funktion med en intern kontaktperson. Det kan også vise sig, at nogle af opgaverne aldrig burde have ligget hos den sikkerhedsansvarlige, fx brugeradministration, som hører til driften. Skriv en ny rollebeskrivelse, før stillingen slås op eller en ekstern aftale indgås, og lad ledelsen godkende den. Hvordan nøglepersoners skifte påvirker testplaner og opfølgning på fund, er gennemgået under nøglepersoner skifter.

Det skal I lade være med

• At lukke personens konti på sidste dag uden at have flyttet dem · I kan låse jer selv ude af egne systemer.
• At lade overdragelsen ske i sidste uge · den viden, der mangler, opdages først bagefter.
• At give IT-leverandøren tilsynet med sig selv · den praktiske del kan flyttes til leverandøren, mens tilsynet bliver hos jer.
• At glemme registreringen hos myndigheden · kontaktoplysningerne skal være korrekte.
• At ansætte en afløser til samme rolle uden at se på, om rollen stadig passer · fratrædelsen er en anledning.

Det skal I kræve af den eksterne

• ☐ En overdragelsesplan med datoer, som ledelsen kan godkende i første uge.
• ☐ En liste over konti og adgange med ny ejer og dato for flytning.
• ☐ Deltagelse i overdragelsesmøderne med de centrale leverandører.
• ☐ En liste over åbne sager, accepterede risici og undtagelser.
• ☐ Et forslag til, hvordan rollen kan se ud fremover, med en intern kontaktperson.

Første skridt efter opsigelsen

Bed den sikkerhedsansvarlige om en liste over sager, konti og faste opgaver inden for den første uge, og sæt et møde med direktionen om, hvem der overtager hvad. Rollens opgaver er beskrevet under Hvad er CISO as a Service?. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kilder

• Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om ledelsesorganets godkendelse og tilsyn og § 10, stk. 3, om ændringer i registreringsoplysninger.

Senest gennemgået: november 2026.

Næste skridt

• Ekstern CISO: hvornår giver det mening at hente rollen udefra?
• Årshjul for sikkerhedsarbejdet i ledelsen

Læs også: Når en medarbejder stopper: adgange, udstyr og viden · Hvem ejer hvilket sikkerhedsdokument?

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT