I mange mindre virksomheder er sikkerheden aldrig blevet placeret. Den ene IT-medarbejder tager sig af firewallen, den anden svarer på kundernes spørgeskemaer, og IT-leverandøren håndterer opdateringerne. Hver opgave bliver løst af en dygtig person, men ingen ser dem samlet. Prisen viser sig, når ledelsen stiller et enkelt spørgsmål om risiko og får fire forskellige svar. Artiklen beskriver tegnene på, at rollen mangler, hvad det koster af dårlige beslutninger, og hvordan opgaverne samles, uden at I behøver en ny stilling.
Sådan ser det ud i hverdagen
Der er ingen, der har valgt ordningen. Den er vokset frem, fordi hver ny opgave landede hos den, der var nærmest. Fem tegn går igen:
- Spørgeskemaer fra kunder besvares af den, der har tid, og svarene ligner ikke hinanden fra gang til gang.
- Risici bliver nævnt i mails og på gangen, men står ingen steder som en samlet liste.
- Ledelsen hører om sikkerhed, når noget er gået galt eller skal købes.
- IT-leverandøren og IT-medarbejderne regner begge med, at den anden følger op.
- Ingen kan svare på, hvem der beslutter, om et system må køre videre uden opdateringer.
Genkender I tre eller flere, er der tale om en ledig rolle, selv om alle i IT-afdelingen har travlt.
Hvorfor dygtige IT-folk ikke løser problemet
IT-medarbejdernes opgave er at holde systemerne kørende. Sikkerhedsledelse er en anden opgave, som indebærer at prioritere mellem forretningens risici, sige nej til leverandører og forklare ledelsen, hvad en beslutning betyder. Der er tre konkrete grunde til, at de to opgaver sjældent passer i samme person.
Den første er tiden. Driften kommer altid først, når noget står stille, og sikkerhedsarbejdet flyttes til næste uge. Den anden er mandatet. En medarbejder kan sjældent bestemme, at et forretningsområde skal ændre en arbejdsgang, eller at en leverandør skal skiftes. Den tredje er kontrollen. Den, der driver et system, kan vanskeligt være den, der vurderer, om det er drevet ordentligt.
Det, det koster
Omkostningen viser sig sjældent som en regning. Den viser sig i beslutningerne.
Penge går til det, der er synligt. Når ingen har prioriteret risiciene, bliver der købt det værktøj, en leverandør har præsenteret, mens det kedelige arbejde med adgange og aftaler venter. Svar til kunder bliver usikre, og et løfte i et spørgeskema kan ende med at binde virksomheden til noget, ingen har ansvaret for at leve op til. Under en hændelse går de første timer med at finde ud af, hvem der bestemmer. Og når medarbejderen med mest viden stopper, forsvinder overblikket med personen.
For en virksomhed under NIS2 kommer ledelsens egen stilling oven i. Efter § 7 godkender ledelsesorganet foranstaltningerne og fører tilsyn, og det kræver et samlet grundlag fra en bestemt person. Hvilke krav der ligger på ledelsen selv, står på NIS2 og ledelsens ansvar.
Sådan samles opgaverne
Første skridt er at se, hvad der faktisk bliver lavet. Bed IT-medarbejderne og leverandøren om at skrive deres sikkerhedsopgaver ned på én liste, og sæt navn på hver. Listen afslører både dobbeltarbejde og huller.
Andet skridt er at skille udførelse fra ledelse. Udførelsen bliver, hvor den er: opdateringer, overvågning og brugeradministration ligger hos driften. Lederopgaverne samles hos én person: risikovurderingen, planen, kravene til leverandørerne, kundernes spørgsmål og rapporten til ledelsen. En enkel ansvarsfordeling er vist i hvem gør hvad i sikkerhedsarbejdet?.
Tredje skridt er at beslutte, hvem der skal have rollen. I mange mindre virksomheder fylder den for lidt til en fuld stilling, og den kræver mere erfaring, end der findes i huset. Derfor er der tre realistiske valg:
- En intern medarbejder får rollen, tid til den og en beskrivelse af mandatet. Se titlen som informationssikkerhedsansvarlig.
- En ekstern CISO får rollen nogle dage om måneden, mens IT-folkene fortsætter med udførelsen. Det samler ledelsesopgaverne uden at belaste budgettet med en fuld stilling.
- En kombination, hvor en intern kontaktperson står for det daglige, og en ekstern leder arbejdet.
Lovgivningen kræver ikke titlen CISO, se kræver NIS2 en CISO?. Det afgørende er, at nogen ejer opgaven.
Sådan tager I det med IT-folkene
En ekstern sikkerhedsleder kan let blive opfattet som en kontrollant. Sig derfor tydeligt, hvad formålet er: IT-medarbejderne skal slippe for de opgaver, der aldrig var deres, som at svare på kundernes spørgeskemaer og forklare risici for bestyrelsen. De får en person, der kan tage kampen om prioriteringer med ledelsen og leverandørerne, og som giver dem ro til driften.
Det skal I lade være med
- At give opgaven til den dygtigste IT-medarbejder uden tid og mandat · så får I en ny titel og samme situation.
- At forstå uddelegering som fritagelse · ansvaret bliver hos ledelsen, uanset hvem der udfører arbejdet.
- At lade IT-leverandøren samle rollen · den, der leverer driften, bør ikke føre tilsyn med sig selv. Interessekonflikten står i artiklen om IT-leverandøren som CISO.
Det skal I kræve af den eksterne
- ☐ En samlet liste over sikkerhedsopgaver med ejere.
- ☐ En ansvarsfordeling mellem ledelse, IT-folk og leverandører.
- ☐ En prioriteret plan, som kan forklares for ledelsen.
- ☐ Respekt for de IT-medarbejdere, der kender systemerne bedst.
- ☐ Én rapport til ledelsen i stedet for fire forskellige svar.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Midlertidig CISO · Hvem har ansvaret, når driften er outsourcet?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
