Et sikkerhedsbudget står mål med risikoen, når hver post kan føres tilbage til en risiko, som ledelsen har vurderet, og til en plan, som ledelsen har godkendt. Generelle tommelfingerregler om, hvor meget andre bruger, siger meget lidt om jeres behov, fordi virksomheder med samme størrelse kan have helt forskellige systemer, leverandører, kundekrav og konsekvenser af et nedbrud. Ledelsens opgave er derfor at spørge, hvilke risici budgettet reducerer, hvilke det lader stå, og om det er et bevidst valg.
Hvad der påvirker budgettet
En række forhold trækker behovet op eller ned. Ingen af dem kan oversættes direkte til et beløb, men de forklarer, hvorfor to virksomheder af samme størrelse kan have meget forskellige budgetter.
- Hvor afhængig forretningen er af IT. En produktionsvirksomhed, hvis maskiner styres af et netværk, har andre behov end et rådgivningsfirma, der mest bruger mail og dokumenter.
- Udgangspunktet. Mangler grundelementerne, går de første år til at indhente. Er de på plads, går budgettet mest til vedligehold.
- Regulering. Virksomheder under NIS2-loven skal træffe passende og forholdsmæssige foranstaltninger efter § 6. Det giver opgaver, som skal dækkes.
- Kundekrav. Krav om ISO 27001, D-mærket eller udfyldte spørgeskemaer koster tid og nogle gange ekstern hjælp.
- Antallet af leverandører. Hver leverandør med adgang skal vurderes og følges op.
- Forsikring. Forsikringsselskabets krav kan udløse tiltag, der skal finansieres.
Fra risiko til budgetpost
Den sikreste vej til et budget, der kan forsvares, går gennem risikovurderingen. For hver væsentlig risiko spørger ledelsen: Hvad koster det at reducere den? Hvad koster det, hvis den indtræffer? Og hvad er vi villige til at leve med?
Svarene giver ikke et præcist regnestykke, men de giver en prioriteret liste, hvor de dyreste konsekvenser og de billigste tiltag står øverst. Den liste er grundlaget for budgettet. Selve vurderingen er forklaret i risikovurdering for direktion og bestyrelse, og prioriteringen af indsatsen har sin egen artikel.
Fire slags udgifter, der skal med
Et budget, der kun dækker indkøb af værktøjer, overser det meste af arbejdet. Fire grupper bør være synlige hver for sig.
- Drift og vedligehold. Licenser, opdateringer, backup og overvågning, som allerede kører.
- Forbedringer. Nye tiltag fra planen, fx segmentering af produktionsnettet eller en ny løsning til adgangsstyring.
- Ledelse og styring. Tid til risikovurdering, politikker, leverandøropfølgning og rapportering, uanset om den ligger internt eller hos en ekstern CISO.
- Test og beredskab. Gendannelsestest, øvelser og eventuelle sikkerhedstest. Hvordan midlerne til test prioriteres, er beskrevet i budget og prioritering på sikkerhedstesten.dk.
Den interne tid tælles ofte ikke med. Den er en reel udgift, fordi medarbejdere, der bruger tid på sikkerhed, ikke bruger den på andet.
Budgettet i årshjulet
Sikkerhedsbudgettet fungerer bedst, når det behandles på samme tid som resten af virksomhedens budget og ud fra den opdaterede risikovurdering. Rækkefølgen er enkel. Risikovurderingen opdateres, planen for næste år justeres, og budgettet lægges ud fra planen. Hvis budgettet bliver lagt først, ender planen med at blive tilpasset pengene i stedet for risikoen. Et forslag til fordelingen over året findes i årshjulet for sikkerhed. For virksomheder under NIS2-loven er budgetbehandlingen desuden en naturlig anledning til at vise, at ledelsesorganet har taget stilling til foranstaltningerne.
Sådan vurderer ledelsen budgettet
Ledelsen behøver ikke kende markedspriser for at vurdere et budget. Den kan stille spørgsmål, der viser, om budgettet hænger sammen med risikoen.
- Hvilke af de vigtigste risici dækker budgettet, og hvilke dækker det ikke?
- Hvilke risici accepterer vi, fordi vi ikke afsætter midler til dem, og er det besluttet af den rigtige?
- Hvad bliver ikke gjort, hvis budgettet skæres ned, og hvilken risiko stiger så?
- Hvilke poster er faste, og hvilke er engangsudgifter?
- Hvordan kan vi se næste år, om pengene gjorde en forskel?
Det tredje spørgsmål er særlig nyttigt, fordi det tvinger prioriteringen frem i lyset. Det andet spørgsmål kobler budgettet til ansvaret, for en risiko, der ikke får midler, er i praksis accepteret, og det bør ske af en person med mandat til det. Fordelingen af det mandat er beskrevet under risikoaccept i ledelsen.
Et tænkt eksempel viser, hvordan spørgsmålene virker. En engrosvirksomhed med 55 ansatte har hidtil haft et IT-budget, hvor sikkerhed var en del af driftsaftalen. Efter en risikovurdering står det klart, at den største risiko er et længere nedbrud af ERP-systemet, og at den næststørste er falske fakturaer. Direktionen beslutter at prioritere en gendannelsestest af ERP-systemet og nye regler for godkendelse af betalinger. En ønsket løsning til overvågning af netværket udskydes til næste år, og risikoen accepteres midlertidigt af direktøren. Budgettet bliver mindre end leverandørens forslag, men det er nu begrundet post for post, og direktøren kan forklare bestyrelsen, hvilke risici der er dækket, og hvilke der venter.
Det skal I lade være med
- At bruge en tommelfingerregel fra markedet som facit. Den kender hverken jeres systemer eller jeres risici.
- At lade leverandørens tilbud være budgettet. Tilbud viser, hvad leverandøren kan levere.
- At glemme den interne tid. Den er ofte den største post.
- At skære uden at spørge, hvad der falder bort. En besparelse er også en risikoaccept.
- At budgettere år for år uden en plan. Så bliver hvert år en ny forhandling.
Det skal I kræve af den eksterne
- ☐ Et budgetforslag, hvor hver post er koblet til en risiko eller et krav.
- ☐ En tydelig opdeling mellem drift, forbedringer, styring og test.
- ☐ En liste over de risici, der ikke dækkes, så ledelsen kan acceptere dem bevidst.
- ☐ Mulige alternativer med forskellige ambitionsniveauer.
- ☐ Opfølgning i løbet af året på, om pengene bliver brugt som planlagt.
- ☐ Forslag, der ikke er påvirket af provision eller samarbejdsaftaler med leverandører.
Sådan kommer I i gang
Saml jeres nuværende udgifter til sikkerhed i de fire grupper, også dem, der er gemt i driftsaftaler. Læg dem ved siden af risikovurderingen og se, hvilke risici der får midler, og hvilke der ikke gør. Rammen står under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, om passende og forholdsmæssige foranstaltninger.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kvartalets spørgsmål til CISO’en · Nøgletal for sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
