En virksomhed uden sikkerhedsafdeling kan godt have en sikkerhedsorganisation. Den består som regel af tre dele. Ledelsen træffer beslutningerne og fører tilsyn. Et lille sikkerhedsudvalg med tre til fem deltagere mødes fast og holder arbejdet i gang. En ansvarsmatrix viser for hver sikkerhedsopgave, hvem der udfører den, og hvem der står til ansvar for den. Den eksterne CISO forbereder udvalgets møder, skriver indstillingerne og følger op, men har ikke formandsposten. Det hele kan beskrives på tre sider: et kommissorium, en mødeplan og selve matricen.
Hvorfor organiseringen skal skrives ned
I en mindre virksomhed er sikkerhedsopgaverne ofte fordelt efter vane. Økonomichefen godkender betalinger, IT-leverandøren opdaterer serverne, og en kollega med interesse for IT opretter nye brugere. Så længe intet går galt, virker det. Problemet viser sig, når en opgave falder mellem to stole, eller når en medarbejder stopper og tager sin viden med.
For virksomheder omfattet af NIS2-loven er der også et formelt hensyn. § 7 pålægger ledelsesorganet at godkende foranstaltningerne og holde øje med, hvordan de gennemføres. Tilsynet bliver lettere at udøve og at dokumentere, når det fremgår, hvem der rapporterer hvad, og hvor ofte. Loven nævner hverken et udvalg eller en bestemt titel, så formen er jeres eget valg.
Lagene i en lille sikkerhedsorganisation
De fleste mindre virksomheder kan klare sig med fem lag.
- Ledelsesorganet, dvs. bestyrelse og direktion efter selskabsformen, godkender politik og risikovillighed og modtager rapporter.
- Direktøren prioriterer ressourcerne og træffer beslutninger mellem møderne.
- Sikkerhedsudvalget samler de personer, der har hænderne på arbejdet, og følger planen.
- Systemejere og den interne kontaktperson står for de enkelte systemer og for hverdagens spørgsmål. Forskellen på den interne rolle og den eksterne er beskrevet i informationssikkerhedsansvarlig.
- Leverandørerne udfører de opgaver, der står i deres aftaler, og deltager efter behov.
Et udvalg på tre til fem personer
Sikkerhedsudvalget, som også kaldes styregruppen for informationssikkerhed, er det sted, hvor arbejdet bliver til beslutninger. I produktionsvirksomheden med 40 ansatte kan det bestå af direktøren som formand, økonomichefen, produktionschefen og den eksterne CISO. Driftsleverandøren inviteres til de punkter, der angår driften.
Formanden bør være en person med mandat til at prioritere. Er formanden en mellemleder uden budget, ender udvalget med at lave lister, som ingen har ret til at sætte i gang. Kunderne, persondata og produktionen bør være repræsenteret, fordi det er dér, konsekvenserne af en hændelse mærkes. Har virksomheden en DPO, deltager vedkommende i de punkter, der angår personoplysninger.
Kommissoriet på én side
Et kommissorium er udvalgets arbejdsgrundlag. Det godkendes af direktionen og kan holdes på én side, hvis det svarer på disse spørgsmål.
- Hvad er udvalgets formål, og hvilke områder dækker det?
- Hvem er medlemmer, og hvem er formand og sekretær?
- Hvad må udvalget selv beslutte, og hvad skal indstilles til direktionen eller bestyrelsen?
- Hvor ofte mødes det, og hvornår kan der indkaldes ekstraordinært?
- Hvad rapporterer udvalget, til hvem, og hvor ofte?
Grænsen for udvalgets egne beslutninger er vigtig. Udvalget kan godkende en procedure eller en mindre udskydelse af en opgave. Risikoaccept ud over et vist niveau, budget og politik hører hjemme i ledelsen. Niveauerne for risikoaccept gennemgås i artiklen hvem må acceptere en risiko.
Mødeplanen
Et udvalg, der kun mødes, når nogen husker det, holder op med at fungere. En mødeplan for et år kan se sådan ud.
- Et møde om måneden på en time i det første år, mens planen bygges.
- Derefter et møde hvert kvartal med en fast dagsorden: status på planen, nye risici, hændelser og nærvedhændelser, leverandørforhold og punkter til ledelsen.
- Et årligt møde, hvor risikovurderingen og politikken gennemgås, før de går videre til godkendelse.
Datoerne kan lægges i det samme årshjul som bestyrelsesmøderne, så udvalgets rapport er klar, når bestyrelsen skal bruge den. Hvordan årshjulet kan bygges, står i årshjul for sikkerhedsarbejdet.
Ansvarsmatrixen for sikkerhedsopgaverne
Matricen er udvalgets vigtigste værktøj. Metoden med udfører, ansvarlig, rådgiver og orienteres er den samme for alle IT-opgaver og er gennemgået på ekstern-it-ledelse.dk under rollebeskrivelse og ansvarsmatrix. Her handler det om, hvilke sikkerhedslinjer der bør stå i den. Gode kandidater er:
- Risikovurdering og forslag til risikovillighed.
- Godkendelse af sikkerhedspolitikken.
- Gennemgang af adgangsrettigheder.
- Sårbarhedshåndtering og frister for opdateringer.
- Vurdering af, om en hændelse skal underrettes.
- Sikkerhedskrav ved nye leverandører og nye systemer.
- Kurser for ledelsen og medarbejderne.
- Svar på kunders og forsikringens spørgeskemaer.
For hver linje står én person som ansvarlig. Hvor loven lægger pligten hos ledelsesorganet, står ledelsen som ansvarlig, og den eksterne CISO står som udfører eller rådgiver.
Her sidder den eksterne CISO
Den eksterne CISO er typisk udvalgets sekretær. Det betyder, at CISO sætter dagsordenen sammen med formanden, skriver indstillingerne og referatet og følger op på det, der er besluttet. CISO kan desuden være ansvarlig for linjer, der handler om metode og overblik, fx risikovurderingens form og den samlede rapport.
Formandsposten bør ligge internt. Udvalget skal træffe beslutninger om virksomhedens penge og prioriteringer, og den beslutningsret har en ekstern rådgiver ikke. Hvem CISO refererer til uden for udvalget, og hvornår bestyrelsen skal kunne høre CISO direkte, er beskrevet i hvem CISO refererer til. Hvordan CISO-rollen i øvrigt fungerer, kan I læse under hvad er CISO as a Service.
Det skal I lade være med
- At give udvalget en formand uden mandat. Så bliver beslutningerne til ønsker.
- At invitere hele IT-leverandørens team. Udvalget skal lede arbejdet, og leverandøren deltager i sine egne punkter.
- At lade CISO skrive under på ledelsens beslutninger. Ansvaret efter loven bliver hos ledelsesorganet.
- At aflyse møderne, når der er travlt. Det er netop i travle perioder, at opgaver glider.
- At lade matricen dække alt. Tyve sikkerhedslinjer er nok i de fleste mindre virksomheder.
Det skal I kræve af den eksterne
Den eksterne CISO bør kunne levere hele grundlaget i opstarten og holde det ved lige. Spørg også, om rådgiveren har økonomisk gavn af de løsninger, udvalget beslutter at købe.
- ☐ Et udkast til kommissorium på én side.
- ☐ En mødeplan for det første år med fast dagsorden.
- ☐ En ansvarsmatrix for sikkerhedsopgaverne med én ansvarlig pr. linje.
- ☐ Indstillinger og referater, der viser, hvad der er besluttet og af hvem.
- ☐ En kort rapport fra udvalget til hvert bestyrelsesmøde.
- ☐ Alle dokumenter gemt i jeres egne systemer.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens ansvar for en forsvarlig organisation og for procedurer for risikostyring.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem ejer hvilket sikkerhedsdokument? · NIS2 og ledelsens ansvar
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
