En IT-chef kan lede driften, og i nogle virksomheder er det hele svaret. Spørgsmålet til ledelsen er, om der er en anden end IT-chefen, der kan fortælle, om sikkerheden er god nok. IT-chefen har ansvaret for, at systemerne kører, til en pris og inden for en tidsplan. En CISO, altså den, der leder sikkerhedsarbejdet, skal vurdere de samme systemer og prioritere risici. Når begge opgaver ligger hos én person, bedømmer vedkommende sit eget arbejde. Det handler om opgavens indretning og siger intet om personens evner. Artiklen hjælper jer med at afgøre, om I har brug for en ekstra rolle, og hvordan de to deler arbejdet.
Hvor kasketterne støder sammen
Situationen kender I måske fra en virksomhed med egen IT-afdeling. Budgettet er fastlagt, og et større systemskifte er i gang. En sikkerhedsopdatering kræver, at produktionen står stille en nat. Den IT-chef, der også er sikkerhedsansvarlig, skal nu veje sit eget projekt mod sin egen risikovurdering.
Tre beslutninger viser, hvor rollerne trækker hver sin vej:
- Fremdrift mod kontrol. En ny løsning skal i drift på fredag, og gennemgangen af adgangene er ikke færdig.
- Budget mod risiko. Pengene kan bruges på det, brugerne efterspørger, eller på noget, ingen kan se, før det går galt.
- Eget arbejde mod ærlig rapport. En mangel, der skyldes et valg i IT-afdelingen, skal fortælles til direktionen af den, der traf valget.
De fleste IT-chefer håndterer det redeligt. Men ledelsen får kun ét perspektiv, og det kan den ikke se ud fra rapporten.
Når der ikke mangler noget
Der er virksomheder, hvor en ny rolle er overflødig. Spørg jer selv om følgende:
- Er risikovurderingen skrevet ned, og har ledelsen taget stilling til den inden for det seneste år?
- Møder andre end IT-chefen op, når sikkerheden er på bestyrelsens dagsorden?
- Får I indimellem at vide, at noget i IT-afdelingen ikke er godt nok, også når det er ubelejligt?
- Er der tid i kalenderen til kundernes spørgeskemaer, leverandørerne og forsikringen?
- Ville nogen kunne tage over, hvis IT-chefen var væk i en hændelse?
Fem ja betyder, at I sandsynligvis er godt dækket, og at en ny rolle først bliver aktuel, når kravene ændrer sig. Flere nej betyder, at I bør se på, hvor sikkerhedsledelsen skal ligge. Er billedet snarere, at opgaverne er spredt mellem flere folk, så læs sikkerhedsopgaverne ligger spredt hos IT-folkene.
NIS2-loven nævner ingen titel, og I kan være i orden med en IT-chef, der også ejer sikkerheden. Loven lægger godkendelse og tilsyn hos ledelsesorganet (§ 7). For at kunne føre et tilsyn skal ledelsen have et grundlag, der ikke alene kommer fra den, der udfører arbejdet. Se artiklen om, hvorvidt NIS2 kræver en CISO.
Sådan deler de arbejdet
Det virker bedst, når fordelingen er skrevet ned, før første møde. Et udgangspunkt:
- IT-chefen ejer drift, systemer, IT-medarbejdere, projekter, driftsleverandører og udførelsen af sikkerhedsopgaver som opdateringer og adgange.
- Den eksterne CISO ejer risikovurderingen, planen for sikkerhedsarbejdet, sikkerhedskravene til leverandører, de faste svar til kunder og forsikring og rapporten til ledelsen.
- De ejer sammen forberedelsen af beredskabet og vurderingen af nye systemer.
- Ledelsen ejer godkendelsen, prioriteringen og accepten af risici.
Grænsen er enkel at huske. IT-chefen beslutter, hvordan noget gøres. CISO’en spørger, om det er nok, og fortæller ledelsen svaret. Fordelingen kan skrives som en ansvarsmatrix, se hvem gør hvad i sikkerhedsarbejdet.
Det er værd at aftale én ting særskilt: hvad der sker, når de er uenige. I de fleste tilfælde finder de selv en løsning. Når de ikke gør, beskrives uenigheden som en risiko med to forslag, og direktionen afgør den.
Hvem refererer til hvem?
Lægges CISO’en under IT-chefen, er meget af pointen væk, fordi rapporten om IT-afdelingen så passerer IT-afdelingen. Den eksterne bør derfor have direkte adgang til direktøren og, hvor der er en, til bestyrelsen. Det betyder ikke, at IT-chefen skal holdes udenfor. En god regel er, at IT-chefen altid ser rapporten først, kan kommentere den, men ikke kan ændre konklusionen. Mere om det står under CISO’ens plads i organisationen.
Sådan tager I samtalen med IT-chefen
Den mest almindelige fejl er, at IT-chefen hører om beslutningen, når den er truffet. Så bliver den læst som mistillid, og samarbejdet starter skævt.
Tal med IT-chefen, før I taler med nogen udefra. Sig, hvorfor I gør det: kravene er vokset, ledelsen skal kunne føre tilsyn, og opgaverne mod kunder, forsikring og bestyrelse tager tid fra driften. Spørg, hvad vedkommende selv helst vil af med. Lad IT-chefen være med til at vælge den eksterne, for de to skal arbejde sammen hver måned.
Mange IT-chefer får mere ud af ordningen, end de havde ventet. De får en, der kan sige det samme til direktionen, når de har bedt om tid til sikkerhedsarbejdet flere gange. Hvis rollen samler for meget i én person, vejer ekstern-it-ledelse.dk det under flere roller hos samme person.
Det skal I lade være med
- At købe rollen uden at forklare den for IT-chefen · modstanden koster mere end samtalen.
- At lade CISO’en rapportere gennem IT-chefen · ledelsen får så det samme perspektiv som før.
- At bede IT-chefen om at kontrollere sig selv · en årlig erklæring om, at alt er i orden, giver ikke ledelsen noget grundlag.
- At lægge driften over til CISO’en · den, der skal vurdere, bør ikke selv udføre.
Det skal I kræve af den eksterne
- ☐ En skriftlig fordeling af opgaver mellem IT-chef, CISO og ledelse.
- ☐ Rapporter, som IT-chefen ser først og kan kommentere.
- ☐ Direkte adgang til direktionen og en aftalt vej ved uenighed.
- ☐ Respekt for de beslutninger, der hører til driften.
- ☐ Ingen bindinger til IT-afdelingens leverandører.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kan IT-leverandøren også være vores CISO? · Sikkerhedsgennemgang som første skridt
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
