Ledelsen kan følge sikkerhedskulturen gennem en håndfuld enkle tegn, som allerede findes i virksomheden: hvor mange der melder noget mistænkeligt, hvor hurtigt de får svar, om afdelingerne spørger før et nyt system tages i brug, hvor mange undtagelser der bliver bedt om, og om kurserne bliver gennemført. CISO’en samler tegnene, beskriver dem kort og forelægger dem på faste tidspunkter. Ledelsen skal tolke dem og beslutte, hvad der skal ændres. En samlet score for kulturen giver sjældent noget, ledelsen kan handle på.
Hvorfor tegn giver mere end en score
Det er fristende at bede om ét tal for, hvor sikkerhedsbevidste medarbejderne er. Spørgeskemaer og scorer fra træningsplatforme kan give et øjebliksbillede, men de måler mest, hvad folk svarer, når de bliver spurgt. Kulturen viser sig i det, der sker uden opfordring, når en mail ser forkert ud, eller når en afdeling har travlt og vil have et nyt værktøj hurtigt.
Tegnene har den fordel, at de kommer af sig selv. De kræver ingen ny undersøgelse, og de kan følges fra kvartal til kvartal. Ingen af dem er præcise, men tilsammen fortæller de, om sikkerhed er en del af hverdagen eller en opgave, der ligger hos nogle få.
Seks tegn, der kan følges uden en undersøgelse
- Meldinger. Hvor mange henvendelser om mistænkelige mails, opkald, mistede enheder eller fejl kommer der, og fra hvor mange forskellige afdelinger?
- Svartid på meldinger. Hvor lang tid går der, fra en medarbejder melder, til vedkommende hører tilbage? En melding uden svar giver færre meldinger næste gang.
- Spørgsmål før beslutninger. Bliver sikkerhed inddraget, før en afdeling vælger et nyt system eller en ny tjeneste, eller opdages det bagefter?
- Undtagelser. Hvor mange anmodninger om undtagelser fra reglerne kommer der, hvem beder om dem, og bliver de lukket igen til tiden?
- Kurser. Hvor stor en andel af medarbejderne og af ledelsen selv har gennemført den træning, der er besluttet?
- Fratrædelser og rolleskift. Bliver adgangene lukket den dag, en medarbejder stopper eller skifter opgaver?
Listen kan tilpasses. En virksomhed med mange medarbejdere i produktionen vil måske hellere følge, om fælles login på maskinerne bliver udfaset. Det vigtige er, at tegnene holdes de samme over tid, så udviklingen kan ses. Hvordan meldevejen bygges op, står i artiklen om at få medarbejderne til at melde det mistænkelige.
Hvor tegnene kommer fra
Tegnene ligger spredt. Meldingerne lander hos IT-leverandøren eller i en fælles postkasse. Undtagelserne står i et register, hvis der er et. Kursusdata ligger i træningsplatformen eller hos HR. Fratrædelser kendes af HR, mens lukningen af adgange sker hos leverandøren.
Det er her, den eksterne CISO gør en forskel. CISO’en aftaler med hver kilde, hvad der skal leveres og hvornår, og samler oplysningerne i et fast format. Det kræver ingen nye systemer, men det kræver, at nogen ejer opgaven. Ejer ingen den, bliver tegnene aldrig samlet, og kulturen forbliver en fornemmelse.
Leverandøren skal kunne levere sine tal uden stort ekstraarbejde. Det kan med fordel stå i aftalen, at antal meldinger og svartider indgår i den faste rapportering. Den slags krav til leverandøren behandles under leverandørstyring på sikkerhed.
Sådan læses tegnene sammen
Et enkelt tegn kan pege i flere retninger. Flere meldinger kan betyde, at der er flere angreb, eller at medarbejderne er blevet mere opmærksomme. Færre undtagelser kan betyde, at reglerne passer bedre, eller at folk er holdt op med at spørge og i stedet går uden om.
Derfor læser CISO’en tegnene sammen og skriver en kort vurdering ved siden af tallene. Stiger meldingerne, mens svartiden holdes nede, er det som regel et godt tegn. Falder undtagelserne samtidig med, at afdelingerne spørger oftere, er det også et godt tegn. Falder begge dele, bør nogen undersøge hvorfor.
Ledelsens egen adfærd hører med i billedet. Hvis direktionen selv er de mest flittige til at bede om undtagelser, fortæller det mere end en kursusprocent. Hvordan ledelsens eget eksempel og reaktionen på en sikkerhedstest former kulturen, er beskrevet på sikkerhedstesten.dk under sikkerhedskultur begynder i ledelsen.
Hvordan tegnene kommer frem til bestyrelsen
Kulturen bør have en fast plads i ledelsesrapporteringen, men den behøver ikke fylde meget. Et forslag er en halv side to gange om året med de seks tegn, udviklingen siden sidst og CISO’ens vurdering i tre eller fire sætninger. Til sidst står det, ledelsen bør tage stilling til, fx om meldevejen skal gøres lettere, eller om en afdeling har brug for særlig opmærksomhed.
Bestyrelsen skal ikke se navne. Tegnene handler om afdelinger og grupper, og formålet er at finde de steder, hvor forholdene kan forbedres. Den samlede rapport er beskrevet i sikkerhedsrapport til bestyrelsen, og tegnene kan stå ved siden af de nøgletal for sikkerhed, ledelsen i forvejen følger.
NIS2-loven pålægger i § 7, stk. 2, medlemmerne af ledelsesorganet selv at tage kurser i styring af cybersikkerhedsrisici og at opmuntre til, at resten af medarbejderne får lignende tilbud. For en omfattet virksomhed bliver kursustegnet derfor også dokumentation for, at ledelsen har levet op til den del af loven.
Det skal I lade være med
- At købe en kulturscore og stoppe dér. Et tal fra et spørgeskema siger lidt om, hvad folk gør.
- At skifte tegn hver gang. Så kan ingen se, om noget har flyttet sig.
- At reagere på et tal uden at kende baggrunden. Spørg CISO’en, hvad stigningen eller faldet dækker over.
- At bruge tegnene til at finde de svage. Det får meldingerne til at falde af de forkerte grunde.
- At udelade ledelsen selv. Kurser og undtagelser i direktionen tæller med.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne foreslå tegn, der passer til jeres virksomhed, og samle dem uden at I skal bygge noget nyt. Spørg også, om rådgiveren får betaling fra udbydere af træningsplatforme, så anbefalingen af værktøj er til at stole på.
- ☐ Et forslag til fem til otte tegn med kilde og ejer for hvert.
- ☐ Aftaler med IT-leverandøren og HR om, hvad de leverer og hvornår.
- ☐ En kort vurdering ved siden af tallene, skrevet i almindeligt sprog.
- ☐ Rapportering på afdelingsniveau uden navne.
- ☐ Ledelsens egne kurser og undtagelser medtaget.
- ☐ Et forslag til, hvad ledelsen bør beslutte, når et tegn går den forkerte vej.
Sådan begynder I
Bed CISO’en eller IT-leverandøren om de tre tegn, der er lettest at finde i dag, typisk meldinger, kurser og fratrædelser. Se på dem på næste direktionsmøde, og beslut, hvilke tegn der skal med fremover. Efter to opgørelser vil I kunne se, om noget bevæger sig. Det, kulturen bygger på, nemlig træningen, er beskrevet i awareness-træning: hvad ledelsen skal bestille, og rapporteringens plads i det samlede arbejde står under cybersikkerhed i bestyrelseslokalet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7, stk. 2, om ledelsesorganets kurser og tilskyndelse til kurser for de øvrige ansatte.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Undtagelser fra sikkerhedsreglerne · Nøgletal for sikkerhed, som ledelsen kan følge
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
