Et årshjul for IT-ledelse er én kalender for ledelsen, hvor de faste IT-opgaver står måned for måned. Når flere eksterne roller arbejder for virksomheden, har hver af dem sine tilbagevendende punkter. IT-chefen har budget og kontrakter, sikkerhedsansvarlige har test og øvelser, og DPO’en har sin årlige gennemgang. Ét samlet hjul forhindrer, at punkterne kolliderer eller bliver glemt. Den eksterne IT-chef eller CTO vedligeholder det, de øvrige roller melder deres punkter ind, og direktionen godkender hjulet ved årets start.
Hvorfor ét fælles hjul
Uden et fælles hjul lægger hver rolle sin egen plan. Sikkerhedsrådgiveren planlægger en beredskabsøvelse i den uge, hvor regnskabet lukkes. DPO’en beder om en gennemgang af behandlingerne samtidig med, at IT-chefen forhandler den største kontrakt. Direktøren skal møde op til det hele og har svært ved at se, hvad der er vigtigst.
Et fælles hjul giver ledelsen ét sted at se hele året. Det viser også, hvor mange beslutninger der lander på direktionen i hvert kvartal. Er der seks store punkter i september og intet i marts, kan noget flyttes.
Hjulet gør også de eksterne roller mere effektive. Når sikkerhedsrådgiveren kan se, at budgetforslaget lægges i august, kan ønsket om en ny backupløsning komme med i tide. Når DPO’en ved, hvornår et nyt system skal vælges, kan databeskyttelsen vurderes, før kontrakten er underskrevet. Uden hjulet opdager rollerne den slags for sent, og så bliver det en ekstraregning eller en udsættelse.
Hvem vedligeholder det
Den rolle, der har det samlede IT-ansvar, ejer hjulet. Det er oftest den eksterne IT-chef eller CTO. Har virksomheden kun en sikkerhedsansvarlig eller en IT-driftschef udefra, kan den rolle overtage opgaven. Ejeren lægger hjulet op ved årets begyndelse, opdaterer det, når datoer flytter sig, og tager det med på de månedlige møder med direktionen.
De øvrige roller melder deres faste punkter ind skriftligt. Driftsleverandøren bidrager med planlagte opdateringer, serviceeftersyn og udløb af licenser. Den interne kontaktperson holder øje med, at interne frister som ferieperioder og regnskabsafslutning er med, se den interne kontaktperson.
Det hører med i hjulet
Hjulet skal rumme de punkter, der kommer igen hvert år. Engangsprojekter hører til i projektplanen.
- Strategi og budget: årlig revision af IT-strategien og budgetforslag i god tid før budgetlægningen.
- Kontrakter: opsigelsesfrister og fornyelser for de vigtigste leverandører, med en påmindelse flere måneder før fristen.
- Sikkerhed: risikovurdering, test af backup og genetablering, beredskabsøvelse og awareness for medarbejderne.
- Databeskyttelse: gennemgang af fortegnelsen over behandlinger og DPO’ens årlige orientering til ledelsen, hvis virksomheden har en DPO.
- Adgange: gennemgang af brugere og rettigheder, særligt administratoradgange.
- Ledelse og bestyrelse: de møder, hvor IT er på dagsordenen, og hvad der skal forelægges dér.
- Krav udefra: frister for kundernes spørgeskemaer, forsikringens fornyelse og eventuelle revisioner.
Hvor NIS2-loven gælder, har ledelsesorganet tre faste pligter på området, nemlig godkendelse af tiltagene, tilsyn og kursus. Godkendelsen og kurset kan med fordel stå som faste punkter, så de ikke afhænger af, at nogen husker dem. Sikkerhedsrollens mere detaljerede plan for test, øvelser og opfølgning er et underliggende dokument, som hjulet henviser til.
Et tænkt eksempel
En handelsvirksomhed med 60 ansatte bruger tre parter udefra til IT: en IT-chef på deltid, en rådgiver i sikkerhed og en driftsleverandør. Hjulet kan se sådan ud i grove træk.
- Januar: årets hjul godkendes af direktionen, og adgangsgennemgangen sættes i gang.
- Marts: risikovurderingen opdateres og forelægges direktionen.
- Maj: backup og genetablering testes sammen med driftsleverandøren.
- August: IT-strategien revideres, og budgetforslaget for næste år udarbejdes.
- September: bestyrelsen får sin årlige gennemgang af IT og sikkerhed.
- Oktober: beredskabsøvelse og awareness for medarbejderne.
- November: kontrakter med frister i første halvår gennemgås, og forsikringens spørgeskema besvares.
Hjulet tager hensyn til, at juli er ferie, og at december er travl. Ingen store punkter lander dér.
Eksemplet viser også, at rækkefølgen betyder noget. Risikovurderingen i marts giver input til testen i maj, og begge dele giver grundlag for strategien og budgettet i august. Bestyrelsen får sin gennemgang, når de vigtigste tal for året er kendt. Et hjul, hvor punkterne bygger på hinanden, sparer tid for både ledelsen og de eksterne.
Hvor ofte bruges det
Hjulet godkendes én gang om året af direktionen og ses igennem hver måned på mødet med den eksterne. Ved hvert møde ser I på de kommende tre måneder. Hvad skal forberedes, og hvem gør det? Den faste rapport kan have en linje om hjulet, så det er tydeligt, om punkterne holder, se rapportering til ledelsen.
Bestyrelsen behøver ikke hele hjulet. Den bør vide, hvornår IT og sikkerhed kommer på dens dagsorden, og hvad den kan forvente at få forelagt. Hvordan bestyrelsen indgår, er beskrevet i bestyrelsens rolle.
Det skal I kræve af den eksterne
- ☐ Et udkast til hjulet inden for de første måneder af samarbejdet.
- ☐ Punkter fra alle roller og fra driftsleverandøren samlet i én kalender.
- ☐ En ansvarlig og en forberedelsesfrist ved hvert punkt.
- ☐ Kontraktfrister med påmindelse i god tid.
- ☐ Opdatering, når datoer flytter sig, og gennemgang på de månedlige møder.
- ☐ Hjulet lagt i jeres fælles mappe i et format, I selv kan redigere.
Det skal I lade være med
- At lade hver rolle køre sin egen kalender · så opdager ingen sammenstød.
- At fylde hjulet med projekter · det mister overblikket over det faste.
- At lægge hjulet i den eksternes eget system · I mister det ved skift af rådgiver.
- At springe den årlige godkendelse over · hjulet bliver en ønskeliste uden forpligtelse.
- At glemme kontraktfristerne · en overset opsigelsesfrist kan binde jer et år mere.
Sådan kommer I i gang
Bed den eksterne om at samle alle kendte faste punkter på én side. Start med kontraktfristerne og budgettet, fordi de har de hårdeste datoer. Bed derefter de øvrige roller om deres punkter, og gennemgå udkastet på næste møde med direktionen. Hjulet hører naturligt til i opstartsfasen, som er beskrevet i de første 90 dage, og hænger sammen med IT-strategi på én side.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse, tilsyn og kurser.
- Forordning (EU) 2016/679 på EUR-Lex: art. 30 om fortegnelse over behandlingsaktiviteter og art. 38, stk. 3, om DPO’ens rapportering til det øverste ledelsesniveau.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opsigelse og binding · Fra aftale til afslutning
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
