En undtagelse fra sikkerhedsreglerne bør gives af den, der ejer den regel, der fraviges, efter en kort vurdering fra CISO’en. Hver undtagelse skal have en begrundelse, en navngiven ejer, eventuelle kompenserende tiltag og en udløbsdato, og den skal stå i ét register. Små og kortvarige undtagelser kan CISO’en eller den områdeansvarlige give. Undtagelser, der berører fortrolige oplysninger, ledelsens egne konti eller varer længere end et halvt år, bør direktionen tage stilling til. Når en undtagelse ender med at blive permanent, er den blevet en risiko, der skal accepteres formelt.
Hvorfor der skal være en proces
Ingen sikkerhedsregel passer til alle situationer. Et ældre maskinanlæg kan ikke opdateres. En sælger på messe skal have adgang til noget, reglerne ikke tillader. En leverandør skal have midlertidig adgang til et system for at løse en fejl. Hvis reglerne ikke giver plads til undtagelser, bliver de omgået i stilhed, og så har ledelsen intet overblik.
En proces giver to ting. Den gør det muligt at sige ja på en ordentlig måde, når der er en god grund. Og den sikrer, at undtagelserne bliver synlige og ophører igen.
Forskellen på undtagelse og risikoaccept
En undtagelse er en tidsbegrænset fravigelse af en regel for en bestemt person, et system eller en situation. Den gives typisk hurtigt og på et lavere niveau. En risikoaccept er en ledelsesbeslutning om at leve med en vurderet risiko, som ikke reduceres. Den behandles mere formelt og er beskrevet i hvem må acceptere en risiko.
De to hænger sammen. Forlænges en undtagelse gang på gang, eller viser vurderingen, at risikoen er stor, skal den flyttes over i risikoprocessen og behandles som en accept. Undtagelsesprocessen er altså til det midlertidige og afgrænsede, mens risikoaccepten er til det, der varer ved.
Hvad en anmodning skal indeholde
En anmodning om undtagelse kan være en kort formular eller en mail med seks punkter.
- Reglen. Hvilken regel der ønskes fraveget.
- Omfanget. Hvilken person, hvilket system eller hvilken situation det gælder.
- Begrundelsen. Hvorfor reglen ikke kan følges.
- Kompenserende tiltag. Hvad der gøres i stedet for at begrænse risikoen, fx ekstra overvågning eller adskillelse fra resten af netværket.
- Ejeren. Hvem der står for undtagelsen, og som skal give besked, når den ikke længere er nødvendig.
- Udløbsdatoen. Hvornår undtagelsen ophører eller skal vurderes igen.
CISO’en vurderer anmodningen og indstiller til den, der kan give undtagelsen. Indstillingen kan være på et par linjer.
Hvem må give undtagelser
Fordelingen kan følge reglernes niveau og risikoens størrelse. En enkel model har tre trin.
- Kortvarige og afgrænsede undtagelser, fx midlertidig adgang for en leverandør i en uge, kan gives af CISO’en eller den, der ejer området.
- Undtagelser af længere varighed eller med større risiko, fx et system, der ikke kan opdateres før næste år, gives af direktøren.
- Undtagelser for direktionen eller bestyrelsen selv behandles i direktionen og skrives ind i referatet.
Det sidste trin er vigtigt. Ledelsen har ofte de bredeste adgange og rejser mest, og derfor kommer mange anmodninger netop derfra. Når de behandles åbent og efter de samme kriterier som alle andres, styrker det reglerne. Antallet af anmodninger er også et af de tegn, der fortæller noget om kulturen, som beskrevet i sikkerhedskultur: de tegn, ledelsen kan følge med i.
Undtagelsesprocessen bør være beskrevet i informationssikkerhedspolitikken eller i en retningslinje under den. Indholdet af politikken står i informationssikkerhedspolitik.
Udløbsdatoen
En undtagelse uden udløbsdato bliver permanent. Derfor er datoen det vigtigste felt i anmodningen. For de fleste undtagelser er tre til seks måneder et fornuftigt udgangspunkt. Undtagelser knyttet til et projekt kan udløbe, når projektet afsluttes.
Når datoen nærmer sig, får ejeren besked. Ejeren bekræfter, at undtagelsen er ophørt, eller beder om en forlængelse med en ny begrundelse. Er der ikke kommet svar, når datoen passeres, bør adgangen lukkes, og ejeren orienteres. Er virksomheden omfattet af NIS2-loven, skal en mangel i forhold til foranstaltningerne efter § 6, stk. 2, rettes uden unødigt ophold. Hvordan sådanne mangler håndteres, står i korrigerende foranstaltninger.
Registret og rapporteringen
Alle undtagelser samles i ét register med de seks oplysninger fra anmodningen og datoen for godkendelse. Registret ejes af CISO’en. Hvert kvartal gennemgår CISO’en registret og ser efter undtagelser, der er udløbet, er forlænget flere gange eller hober sig op på samme regel. Hober anmodningerne sig op på én regel, bør reglen måske ændres.
Ledelsen får en kort status i den faste rapportering: antal åbne undtagelser, hvor mange der er forlænget, og om nogen bør flyttes over i risikoprocessen. Den samlede rapport er beskrevet i sikkerhedsrapport til bestyrelsen.
Det skal I lade være med
- At give undtagelser mundtligt. Så findes de ikke, når der skal ryddes op.
- At give undtagelser uden udløbsdato. De bliver permanente af sig selv.
- At lade ledelsen give sig selv undtagelser i stilhed. Det svækker reglerne for alle.
- At forlænge uden ny begrundelse. Så glider undtagelsen over i en accept, ingen har besluttet.
- At ignorere mange undtagelser fra samme regel. Reglen passer måske ikke til virkeligheden.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne indføre en proces, der er hurtig nok til at blive brugt, og stram nok til at give overblik. Rådgiveren bør ikke have en interesse i at anbefale bestemte produkter som kompenserende tiltag.
- ☐ En kort skabelon til anmodninger med de seks punkter.
- ☐ En skriftlig fordeling af, hvem der må give hvilke undtagelser.
- ☐ Ét register med alle undtagelser og deres udløbsdatoer.
- ☐ Påmindelse til ejeren, før en undtagelse udløber.
- ☐ Kvartalsvis gennemgang og status til ledelsen.
- ☐ Overførsel til risikoprocessen, når en undtagelse bliver varig.
Sådan kommer I i gang
Bed IT-leverandøren og afdelingslederne om en liste over de undtagelser, der findes i dag, også dem, ingen har skrevet ned. Lad CISO’en registrere dem med ejer og udløbsdato, og beslut i direktionen, hvem der fremover må give dem. Processens plads i det samlede arbejde står under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 2, om korrigerende foranstaltninger uden unødigt ophold.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedskultur: de tegn, ledelsen kan følge med i · Hvem ejer hvilket sikkerhedsdokument?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
