En CISO skal forstå teknikken så godt, at leverandørernes svar kan vurderes, og at en teknisk risiko kan oversættes til en forretningsbeslutning. Det kræver solid teknisk baggrund. Rollen er alligevel først og fremmest ledelse: at få direktion, leverandører og medarbejdere til at træffe og gennemføre de rigtige beslutninger om sikkerhed. Den dybe specialistviden om firewalls, cloudopsætning og overvågning skal ligge hos dem, der driver systemerne. CISO’en skal vide nok til at stille krav til dem og til at se, når svarene ikke holder.
Hvad rollen skal kunne over for ledelsen
Direktionen og bestyrelsen har brug for en, der kan sige, hvad der er vigtigst, hvorfor, og hvad det koster at lade være. Det kræver evnen til at skære ned. En god CISO kan forklare en sårbarhed i et ERP-system på to minutter, så en bestyrelsesformand uden IT-baggrund forstår, hvad der står på spil, og hvilken beslutning der skal træffes.
De evner, der tæller mest over for ledelsen, er:
- at beskrive risici i forretningssprog, fx dage uden produktion eller tab af en kundeaftale
- at fremlægge valgmuligheder med fordele og ulemper i stedet for én løsning
- at kende NIS2-lovens krav til ledelsesorganet og kunne forklare dem uden at overdrive
- at sige tydeligt fra, når en beslutning efterlader en risiko, som ledelsen bør kende
Hvordan rapporteringen bygges op, er beskrevet i cybersikkerhed i bestyrelseslokalet.
Hvad rollen skal kunne over for leverandørerne
Her betyder den tekniske forståelse mest. Når driftsleverandøren skriver, at “backup er sat op efter best practice”, skal CISO’en vide, hvilke spørgsmål der afslører, om backuppen faktisk kan genskabes, om den er adskilt fra produktionsmiljøet, og hvem der har adgang til at slette den.
CISO’en behøver ikke selv kunne konfigurere løsningen. Men vedkommende skal kende de typiske svagheder så godt, at et upræcist svar bliver opdaget. Uden den viden bliver leverandørstyring til at modtage rapporter og arkivere dem. Med den kan CISO’en stille opfølgende spørgsmål, bede om skærmbilleder eller logudtræk som dokumentation og vurdere, om et tilbud om en ny løsning faktisk løser det problem, der blev beskrevet. Hvordan opfølgningen kan tilrettelægges, står i opfølgning på leverandøren.
Hvad rollen skal kunne over for kunder og myndigheder
Underleverandører får sikkerhedsspørgeskemaer, kontraktkrav og spørgsmål fra kundernes revisorer. Svarene skal være korrekte, ensartede og kunne dokumenteres. CISO’en skal kunne læse et krav, afgøre, om virksomheden opfylder det, og formulere et svar, der hverken lover for meget eller for lidt.
Over for den kompetente myndighed efter NIS2-loven gælder det samme. Ledelsen skal kunne vise, hvilke foranstaltninger der er truffet, og hvorfor. CISO’en forbereder materialet, mens ansvaret for godkendelse og tilsyn ligger hos ledelsesorganet.
Hvor den tekniske viden skal ligge
I en mindre virksomhed er der typisk tre lag.
- Driften. Den interne IT-medarbejder eller IT-leverandøren opsætter og vedligeholder systemerne. Her ligger den dybe specialistviden.
- Specialister ved behov. Test, overvågning og hændelseshåndtering købes hos dem, der har det som fag. CISO’en beskriver, hvad der skal undersøges, og læser resultatet.
- Sikkerhedsledelsen. CISO’en sætter krav, prioriterer, følger op og rapporterer til ledelsen.
Hvis CISO’en selv udfører driftsopgaver, opstår der en rolleblanding, hvor den samme person kontrollerer sit eget arbejde. Det svækker uafhængigheden. Hvorfor det er et problem, når de to roller samles, står i CISO-rollen hos IT-leverandøren.
Baggrunde, der kan fungere
CISO’er kommer fra forskellige veje. Nogle har en baggrund i drift og infrastruktur, andre i revision, risikostyring eller jura. Ingen af dem er forkerte, men hver baggrund har en blind vinkel. Den driftsorienterede kan have svært ved at slippe teknikken og tale forretning. Den revisionsorienterede kan have svært ved at vurdere, om et teknisk svar er rigtigt.
For en mindre virksomhed er det en fordel med en profil, der har stået med begge dele: teknisk erfaring nok til at vurdere leverandørerne og ledelseserfaring nok til at sidde med ved direktionsbordet. Er profilen stærkest på den ene side, skal den anden dækkes af nogen andre.
I en virksomhed med under 100 ansatte er der sjældent plads til at dele rollen mellem flere personer. Derfor vejer bredden tungere end dybden. En CISO, der kan tale med maskinleverandøren om fjernadgang om formiddagen og forklare bestyrelsen konsekvensen om eftermiddagen, er mere værd for en mindre virksomhed end en specialist i et enkelt teknisk felt. Erfaring fra flere brancher hjælper også, fordi mange af de svagheder, der går igen, ses på tværs af brancher, mens løsningerne skal tilpasses den enkelte virksomhed.
Det skal I lade være med
- At vælge ud fra antallet af certificeringer. Et certifikat viser viden om et emne og siger mindre om evnen til at lede.
- At vælge den, der taler mest teknisk. Hvis ledelsen ikke forstår CISO’en, bliver der ikke truffet beslutninger.
- At give CISO’en driftsopgaver for at udnytte timerne. Så forsvinder den uafhængige kontrol.
- At forvente, at CISO’en kan alt selv. Test, overvågning og hændelseshåndtering kræver specialister.
- At overse kommunikationen. En CISO, der ikke kan få medarbejderne med, får politikker, som ingen følger.
Det skal I kræve af den eksterne
Generelle krav til den, der påtager sig en ekstern ledelsesrolle, er samlet i krav til den eksterne på ekstern-it-ledelse.dk. For CISO-rollen gælder desuden:
- ☐ Dokumenteret erfaring med både teknisk sikkerhed og rådgivning af ledelser.
- ☐ Et eksempel på en rapport til direktionen, der forklarer en teknisk risiko uden fagsprog.
- ☐ En klar beskrivelse af, hvilke opgaver CISO’en selv udfører, og hvilke der ligger hos drift og specialister.
- ☐ Kendskab til NIS2-loven og de standarder, jeres kunder henviser til.
- ☐ Ingen økonomisk interesse i, hvilke leverandører eller produkter I vælger.
- ☐ Evnen til at sige nej til leverandører og til ledelsen, når det er nødvendigt.
Sådan bruger I det
Når I taler med en mulig CISO, så bed om to forklaringer: én af en teknisk risiko til direktionen og én af et krav til IT-leverandøren. Er begge klare og præcise, har profilen den bredde, rollen kræver. En samlet beskrivelse af modellen findes under CISO as a Service forklaret.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvilket mandat skal en ekstern CISO have? · Når CISO og IT-leverandøren er uenige
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
