IT-chefen eller CIO’en ejer, at systemerne er til rådighed, virker og understøtter forretningen. CISO’en, som er lederen af informationssikkerheden, ejer, at risikoen er kendt, og at beskyttelsen står mål med den. De to mål trækker somme tider i hver sin retning, og derfor bør ledelsen vide, hvem der vurderer hvad. I en mindre virksomhed kan samme person godt dække begge roller, så længe en anden nogle gange ser arbejdet efter. Jo større kravene udefra er, jo stærkere bliver grunden til at skille dem ad.
To mål, der kan støde sammen
IT-chefens opgave er, at medarbejderne kan arbejde, at projekterne bliver færdige, og at budgettet holder. CISO’ens opgave er, at ledelsen kender sine risici og kan vise, hvad der er gjort ved dem. Begge vil virksomheden det bedste, men de vejer tingene forskelligt:
- Opdateringer · IT-chefen vil undgå nedetid midt på dagen, og CISO’en vil lukke hullet hurtigst muligt.
- Nyt system · IT-chefen vil have det i drift inden sæsonen, og CISO’en vil vide, hvad leverandøren kan få adgang til.
- Adgange · IT-chefen vil gøre det let at arbejde, og CISO’en vil have færrest mulige med brede rettigheder.
- Budget · IT-chefen vælger mellem nye funktioner og sikkerhed, og CISO’en skal kunne sige, hvad fravalget indebærer.
Spændingen er sund, så længe en leder afgør den. Begge roller har deres eget opslag: CISO’en og CIO’en.
Hvem ejer hvad
En enkel fordeling kan se sådan ud. Den skal tilpasses, men kan bruges som udgangspunkt på et ledelsesmøde:
- IT-chefen ejer driften af systemerne, leverandøraftalerne, IT-budgettet, backuppen og gennemførelsen af sikkerhedstiltag.
- CISO’en ejer risikovurderingen, sikkerhedspolitikken, kravene til leverandørerne, opfølgningen på tiltag og rapporteringen til ledelsen om sikkerhed.
- Ledelsen ejer beslutningen om, hvor stor en risiko virksomheden vil acceptere, og hvad der må koste.
Kort sagt udfører IT-chefen en stor del af det arbejde, som CISO’en stiller krav om og følger op på. Det er derfor, at man taler om, hvem der kontrollerer hvem. Hvis samme person både sætter kravet, udfører det og rapporterer, om det er opfyldt, har ledelsen ingen uafhængig oplysning.
Hvem refererer til hvem
Tre placeringer er almindelige:
- CISO’en refererer til IT-chefen. Det er den enkleste løsning, og den findes mange steder. Ulempen er, at dårlige nyheder om IT-chefens område skal gå gennem IT-chefen.
- CISO’en refererer til direktionen. Så står de to side om side, og ledelsen får to billeder. Det koster mere koordinering, men giver den klareste rolle.
- CISO’en er ekstern og refererer til direktionen. Her ligger uafhængigheden i selve placeringen, og det er ofte løsningen i virksomheder, der ikke kan bære to fuldtidsroller. Se referencen for en ekstern CISO.
Uanset placering bør CISO’en have en direkte vej til direktionen ved alvorlige sager, også selv om den daglige reference går gennem IT-chefen.
Hvornår én person kan dække begge
Det kan være det rigtige, og i mange mindre virksomheder er der ikke grundlag for andet. Følgende taler for det:
- få systemer og få leverandører,
- ingen særlige krav fra kunder, forsikring eller myndigheder,
- en ledelse, der selv stiller spørgsmål til sikkerheden,
- en fast årlig gennemgang ved en anden end den, der har udført arbejdet.
Den sidste betingelse er den vigtigste. Lav en lille adskillelse, hvis I ikke kan lave en stor, fx ved at lade en ekstern gennemgå risikovurderingen en gang om året. Hvilke kombinationer der holder, står under flere roller hos én.
Hvornår de bør adskilles
Disse tegn peger på, at rollerne bør skilles ad:
- I falder ind under NIS2 eller har kunder, der gør, og skal kunne dokumentere sikkerhedsarbejdet. Læs også om loven kræver en CISO.
- Kunder sender spørgeskemaer, og svarene bliver givet af den, der selv driver systemerne.
- IT-chefen har ikke tid. Sikkerhedsarbejdet skubbes hver gang til fordel for det, der haster i driften.
- Der har været en hændelse, og det var uklart, hvem der skulle have opdaget den.
Tag en tænkt produktionsvirksomhed med 90 ansatte, egen IT-chef og en kunde, der stiller krav om dokumentation. IT-chefen er dygtig, men hun skal nu både drive systemerne og skrive svarene om, hvordan hun selv driver dem. Virksomheden beholder hende som den, der udfører, og henter en ekstern CISO på få dage om måneden, som refererer til direktøren. Det er sikkerhedsarbejdet, der får en ny ejer, og IT-chefens job bliver lettere at forklare.
Introduceres en ekstern CISO ved siden af en IT-chef, skal IT-chefen med i samtalen fra start, så rollen ikke opleves som en kontrol af personen. Opgaverne skal stå på skrift, så det er klart, hvor grænsen går. Brug ansvarsmatricen til det.
Det skal I lade være med
- At lade én person kontrollere sig selv uden nogen ekstern gennemgang · ledelsen får kun ét billede.
- At gøre CISO’en til en bremse · rollen skal vise risikoen, og det er ledelsen, der vælger.
- At lægge sikkerheden hos IT-chefen uden tid · så forbliver den et punkt på listen.
Det skal I kræve af den eksterne
- ☐ En skriftlig fordeling af, hvem der ejer, udfører og kontrollerer.
- ☐ En direkte vej til direktionen ved alvorlige sager.
- ☐ Samarbejde med IT-chefen om prioriteringen, så krav bliver realistiske.
- ☐ Rapportering, der viser risici og fravalg i et sprog, ledelsen kan beslutte på.
Næste skridt er at skrive de tre ejerskaber ovenfor på en side og se, hvor samme navn står to steder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPO, CPO og CISO: hvem gør hvad? · NIS2 og ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
