En brugbar sikkerhedsstrategi for en mindre virksomhed fylder få sider og svarer på fire spørgsmål: hvad skal beskyttes, hvor meget risiko vil ledelsen leve med, hvad prioriteres de næste år, og hvordan følges der op. Den er skrevet til ledelsen, så den kan træffe beslutninger og se, om de bliver ført ud i livet. Produkter og leverandører hører hjemme i handleplanen under strategien. En strategi, der starter med en liste over værktøjer, har sprunget de beslutninger over, som giver værktøjerne mening.
Hvorfor strategien kommer før indkøbene
Uden en strategi bliver sikkerhedsarbejdet styret af det, der tilfældigvis kommer forbi: et tilbud fra IT-leverandøren, et spørgeskema fra en kunde, en nyhed om et angreb i branchen. Hver beslutning kan være fornuftig for sig, men samlet giver de sjældent den beskyttelse, forretningen har mest brug for.
En indkøbsliste siger, hvad der skal anskaffes. En strategi siger, hvorfor og i hvilken rækkefølge. I produktionsvirksomheden med 40 ansatte kan det betyde, at gendannelse af styringssystemet til fabrikken prioriteres før en ny løsning til mailfiltrering, fordi et stop i produktionen koster mest. Den slags valg kan kun træffes, når målet er formuleret.
Fem afsnit, der dækker det meste
Strategien kan bygges op om fem korte afsnit:
- Det, der skal beskyttes. De tjenester, systemer og data, forretningen ikke kan undvære, beskrevet i forretningens sprog. Fx ordrebehandling, produktionsstyring og kundernes tegninger.
- Risikovillighed. Hvor længe kan virksomheden tåle, at et kritisk system er nede? Hvor meget data må gå tabt? Svarene sætter niveauet for resten.
- De største risici. Et kort resumé af risikovurderingen med de fem til ti risici, der betyder mest, se Risikovurdering, som ledelsen kan træffe beslutninger på.
- Mål og prioriteter. Hvad skal være på plads om et år, og hvad om tre? Målene formuleres, så de kan måles.
- Ejerskab og opfølgning. Hvem leder arbejdet, hvem beslutter, og hvornår ser ledelsen på status.
Risikovilligheden er det afsnit, der oftest mangler, og det, der er sværest at skrive. Den kræver, at ledelsen siger højt, hvad den kan leve med. Et eksempel kunne være, at ordresystemet højst må være nede i en arbejdsdag, og at bogholderiets data højst må gå tabt for et døgn. Med de to tal kan IT-leverandøren dimensionere backup og gendannelse, og ledelsen kan se, om det, der leveres i dag, svarer til det, den har bestemt.
Mere skal der sjældent til. Et dokument på fire til seks sider bliver læst af ledelsen, mens et på fyrre ofte ender i en mappe.
Rammen gør fremdriften synlig
En fælles ramme gør det lettere at måle, om strategien virker. For NIS2-omfattede virksomheder er de ti områder i § 6, stk. 1, i NIS2-loven en naturlig rygrad. Andre bruger ISO/IEC 27001 eller en af de rammer, der er gennemgået i artiklen om CIS Controls og NIST CSF. Valget betyder mindre end, at rammen bruges konsekvent år efter år.
Rammen gør det også lettere at forklare fremdriften for bestyrelsen, fordi den samme struktur går igen i hver rapport.
Underleverandører, hvis kunder stiller krav om ISO 27001 eller D-mærket, kan med fordel lade strategien pege mod det, kunderne beder om, så arbejdet tæller begge steder.
Fra strategi til handleplan
Under strategien ligger en handleplan for det kommende år. Den indeholder de konkrete tiltag, hvem der står for dem, en tidsplan og et skøn over ressourcer. Det er her, produkter, leverandøraftaler og projekter hører hjemme. Handleplanen ændres oftere end strategien, typisk hvert kvartal, mens strategien gennemgås en gang om året eller ved store ændringer i forretningen. Hvordan rækkefølgen kan lægges, står i Hvad skal vi gøre først?.
Informationssikkerhedspolitikken er strategiens nære slægtning. Politikken er ledelsens udmelding om principperne, mens strategien beskriver retningen og prioriteterne, se Informationssikkerhedspolitik.
Hvem skriver, og hvem beslutter
I en virksomhed uden sikkerhedsafdeling er det typisk en ekstern CISO, der skriver udkastet, efter samtaler med direktionen, de vigtigste afdelinger og IT-leverandøren. Ledelsen beslutter strategien. For NIS2-omfattede virksomheder skal ledelsesorganet efter § 7 godkende de foranstaltninger, strategien fører til, og føre tilsyn med dem.
Det er en fordel, at den, der skriver strategien, ikke har økonomisk interesse i de løsninger, den peger på. Er det IT-leverandøren, der skriver, bør ledelsen være opmærksom på, at anbefalingerne kan falde sammen med leverandørens eget sortiment.
Det skal I lade være med
- At kopiere en strategi fra en anden virksomhed. Risikovilligheden og forretningen er jeres egen.
- At starte med produkterne. De følger af prioriteterne.
- At skrive mål, der ikke kan måles. “Bedre sikkerhed” kan ingen følge op på.
- At lade strategien ligge urørt i tre år. Forretningen, truslerne og leverandørerne ændrer sig.
- At gøre dokumentet så langt, at ledelsen ikke læser det. Detaljerne hører til i handleplanen.
Det skal I kræve af den eksterne
- ☐ En strategi på få sider i et sprog, ledelsen kan bruge.
- ☐ Tydelige forslag til risikovillighed, som ledelsen kan tage stilling til.
- ☐ En handleplan med ansvarlige, datoer og ressourcer.
- ☐ En fast ramme, der gør fremdriften målbar over tid.
- ☐ Åbenhed om økonomiske interesser i de løsninger, strategien anbefaler.
Strategien er en del af det samlede arbejde med risiko, som er beskrevet på Risikovurdering og sikkerhedsstrategi. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud. Næste skridt er at skrive svaret på det første spørgsmål ned: hvilke tre tjenester kan virksomheden mindst undvære?
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1 (minimumsområder) og § 7 (ledelsesorganets godkendelse og tilsyn).
- ISO/IEC 27001 (iso.org): standarden for ledelsessystemer for informationssikkerhed.
- D-mærket: mærkningsordningen for IT-sikkerhed og ansvarlig databrug.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISMS i en mindre virksomhed · Årshjul for sikkerhedsarbejdet i ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
