Et kvartalsmøde med CISO’en skal give direktøren svar på tre ting: Kommer vi frem som planlagt? Er der kommet nye risici? Hvilke beslutninger venter på mig? Ti faste spørgsmål dækker det på under en time, og de virker, uanset om CISO’en er ansat eller ekstern. Når de samme spørgsmål går igen hvert kvartal, bliver det let at se udviklingen, og det bliver svært for både CISO og leverandører at gemme sig bag generelle formuleringer.
Hvorfor faste spørgsmål virker
Uden en fast ramme bliver kvartalsmødet en gennemgang af det, CISO’en selv synes er interessant. Det kan være nyttigt, men det giver ikke direktøren et billede, der kan sammenlignes over tid. Faste spørgsmål tvinger svarene ind i samme form hver gang. Efter et år kan direktøren se, om risici bliver lukket, om de samme forsinkelser går igen, og om planen holder.
Spørgsmålene er også direktørens egen dokumentation for at have fulgt med. For virksomheder under NIS2-loven skal ledelsesorganet føre tilsyn med, at foranstaltningerne bliver gennemført, jf. § 7, stk. 1. Et referat af kvartalsmødet med svarene er et naturligt spor af det tilsyn.
Fremdrift
1. Hvad har vi nået siden sidst, målt mod planen? Svaret skal være konkret: opgaver, der er afsluttet, med dato. Forvent en kort liste og en vurdering af, om planen holder.
2. Hvad er forsinket, og hvorfor? Forvent en årsag for hver forsinkelse og et forslag til, hvad der skal ske. Hvis årsagen er en manglende beslutning i ledelsen, skal det siges direkte.
3. Hvilke nøgletal har ændret sig? Forvent de samme få tal hver gang, fx andel af konti med flerfaktor-login, dage siden seneste gendannelsestest og antal åbne kritiske opdateringer. Forslag til tal findes i artiklen om nøgletal for sikkerhed.
Nye risici
4. Hvad er nyt i risikobilledet? Nye systemer, nye leverandører, et opkøb, en ny stor kunde eller en ændring i trusselsbilledet. Forvent en vurdering af, om risikoen er så stor, at planen skal ændres.
5. Har der været hændelser eller nærved-hændelser? Forvent en kort beskrivelse af hver, hvad den betød, og hvad der er ændret bagefter. Ingen hændelser kan være godt nyt, men det kan også betyde, at de ikke bliver opdaget eller meldt.
6. Hvordan går det med leverandørerne? Forvent en status på de vigtigste leverandører: har de leveret den dokumentation, de har lovet, og er der forhold, der bekymrer CISO’en? Hvordan opfølgningen tilrettelægges, står i opfølgning på leverandøren.
Beslutninger, der venter
7. Hvilke beslutninger skal jeg træffe nu? Det vigtigste spørgsmål. Forvent en kort liste med baggrund og en anbefaling for hver.
8. Hvilke risici beder du mig acceptere? Når en risiko ikke lukkes, skal nogen med mandat acceptere den. Forvent en beskrivelse af risikoen, konsekvensen og hvorfor den ikke lukkes nu. Hvem der har mandat til det, står i artiklen om risikoaccept.
9. Er der noget, bestyrelsen skal vide? Forvent et klart ja eller nej og i givet fald et forslag til, hvordan det forelægges.
10. Hvad kan gå galt i det næste kvartal? Forvent to eller tre ting, CISO’en holder øje med. Spørgsmålet giver direktøren mulighed for at handle, før noget sker.
Hvem der skal være med, og hvordan mødet forløber
Mødet fungerer bedst med få deltagere. Direktøren og CISO’en er faste. Den interne kontaktperson for IT bør deltage, fordi mange af opgaverne lander hos vedkommende. Økonomichefen kan være relevant, når der er beslutninger om budget eller betalingsregler på dagsordenen. IT-leverandøren deltager som udgangspunkt ikke, så CISO’en frit kan vurdere leverandørens indsats, men kan inviteres til et særskilt punkt.
Et referat på én side med svar, beslutninger og ejere sendes ud samme uge. Det er det dokument, der viser tilsynet over tid. Gem referaterne samlet, så bestyrelsen og eventuelt den kompetente myndighed kan se, at ledelsen har fulgt arbejdet løbende.
Sådan kan det se ud i praksis. Direktøren i en transportvirksomhed med 90 ansatte stiller de ti spørgsmål. Svaret på spørgsmål 2 er, at kravene til den nye lagerleverandør er forsinket, fordi kontrakten blev underskrevet uden dem. Svaret på spørgsmål 7 er en anbefaling om at genforhandle et tillæg. Svaret på spørgsmål 8 er, at et gammelt planlægningssystem ikke kan få flerfaktor-login før næste år, og at risikoen skal accepteres midlertidigt med ekstra overvågning. Mødet tager 45 minutter og ender med to beslutninger og en dato.
Det skal I lade være med
- At lade CISO’en vælge emnerne hver gang. Så kan udviklingen ikke følges.
- At nøjes med en mundtlig gennemgang. Skriv svarene ned, så de kan sammenlignes næste gang.
- At acceptere “alt er grønt” uden spørgsmål. Bed om bevis for de vigtigste punkter.
- At udskyde beslutningerne til næste møde. Så bliver CISO’ens arbejde bremset af ledelsen.
- At glemme bestyrelsen. Direktøren skal vurdere, hvad der skal videre, og hvornår.
Det skal I kræve af den eksterne
- ☐ Skriftlige svar på de faste spørgsmål før mødet, så tiden bruges på beslutningerne.
- ☐ De samme nøgletal hvert kvartal, opgjort på samme måde.
- ☐ En liste over beslutninger, der venter, med en anbefaling for hver.
- ☐ Ærlige svar om forsinkelser, også når årsagen ligger hos ledelsen eller hos leverandøren.
- ☐ Et udkast til, hvad der skal forelægges bestyrelsen.
- ☐ En vurdering af leverandørerne, der ikke er påvirket af aftaler eller provision.
Sådan bruger I listen
Send de ti spørgsmål til CISO’en to uger før næste kvartalsmøde og bed om skriftlige svar. Brug mødet til de punkter, der kræver beslutning. Bestyrelsesformandens egne spørgsmål om samarbejdet med en ekstern leder er samlet i spørgsmål og svar for bestyrelsesformanden på ekstern-it-ledelse.dk, og hvordan sikkerheden forelægges bestyrelsen, står under cybersikkerhed i bestyrelseslokalet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7, stk. 1, om ledelsesorganets tilsyn med gennemførelsen af foranstaltningerne.
- CFCS: Cyberforsvar der virker: vejledning om, at ledelsen skal støtte, prioritere og følge op på sikkerhedsarbejdet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Årshjul for sikkerhedsarbejdet i ledelsen · Hvem refererer CISO til, når rollen er ekstern?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
