CISO, vCISO og cyber security advisor

En CISO er den person, der ejer virksomhedens informationssikkerhed på ledelsesniveau: hvilke risici virksomheden står over for, hvilke af dem ledelsen accepterer, hvad der gøres ved resten, og hvordan direktion og bestyrelse holdes orienteret. Hentes rollen udefra, kaldes den ofte vCISO, fractional CISO, CISO as a service eller cyber security advisor. Navnene dækker i praksis det samme ansvar med forskelligt omfang. Rollen bliver relevant, når kunder, forsikringsselskaber eller lovgivningen begynder at spørge, hvem der står for sikkerheden, og svaret er uklart.

Hvad sikkerhedsledelse dækker

Sikkerhedsledelse handler om styring og prioritering mere end om teknik. CISO’en konfigurerer sjældent selv firewalls eller rydder op i brugerkonti. Rollen ser til, at nogen gør det, at det sker i den rigtige rækkefølge, og at ledelsen ved, hvor virksomheden står. Typiske opgaver er:

• Risikovurdering · hvilke systemer og data er vigtigst, hvad truer dem, og hvad betyder et nedbrud for forretningen.
• Politikker og ansvar · hvem må hvad, hvem godkender adgange, og hvem reagerer på en hændelse.
• Leverandører · hvilke krav stilles til IT-leverandøren og andre, der har adgang til data og systemer.
• Beredskab · planen for de første beslutninger, når et angreb eller et stort nedbrud rammer.
• Rapportering · en fast orientering til ledelsen om risici, hændelser og fremdrift.
• Krav udefra · svar på spørgeskemaer fra kunder, forsikringsselskabets krav og eventuelle lovkrav.

Mange virksomheder bygger arbejdet op omkring et ledelsessystem for informationssikkerhed, et ISMS, som beskriver politikker, risikovurderinger og opfølgning samlet. Rollen kort forklaret står i Hvad er en CISO, og hvem har brug for en?.

Mange navne for samme rolle

At samme ansvar sælges under flere navne, skyldes mest, at betegnelserne er kommet til Danmark fra forskellige markeder.

• CISO (Chief Information Security Officer) · den klassiske titel for den øverste sikkerhedsansvarlige, oftest en ansat i større organisationer.
• vCISO (virtuel CISO) · en ekstern person i CISO-rollen, typisk med fjernarbejde og faste møder.
• Fractional CISO · nogle faste dage om måneden hos en erfaren CISO, typisk i en længere periode.
• CISO as a service · rollen leveret som en løbende aftale med et fast indhold.
• Cyber security advisor · bruges ofte, hvor rollen er skåret til en mindre virksomhed uden egen sikkerhedsfunktion.

Hvor betegnelserne dækker det samme, og hvor de i praksis bruges om forskelligt omfang, er gennemgået i vCISO, fractional CISO og cyber security advisor. Når I sammenligner tilbud, er det aftalens beskrivelse af opgaver, mandat og tid, der afgør, hvad I får.

Hvornår rollen bliver relevant

Behovet opstår sjældent på én dag. Typiske anledninger er:

• En stor kunde sender et spørgeskema om informationssikkerhed, og ingen kan svare på det med sikkerhed.
• Forsikringsselskabet stiller nye krav ved fornyelsen af cyberforsikringen.
• Virksomheden er omfattet af NIS2-loven eller leverer til en virksomhed, der er.
• IT-leverandøren foreslår sikkerhedsprodukter, og ledelsen kan ikke vurdere, om de er nødvendige.
• Der har været en hændelse, og ledelsen vil vide, om det kan ske igen.

For virksomheder omfattet af NIS2 lægger reglerne et ansvar direkte på ledelsesorganet. Efter direktivets artikel 20 skal ledelsen godkende foranstaltningerne til styring af cybersikkerhedsrisici, føre tilsyn med gennemførelsen og deltage i uddannelse. Den danske NIS2-lov gennemfører direktivet. En ekstern CISO kan forberede beslutningerne og give ledelsen det grundlag, den skal tage stilling til, men selve ansvaret bliver hos ledelsen. Hvilken ekstern rolle der kan løfte hvad, er beskrevet i NIS2 og ekstern IT-ledelse. Teksten her er ikke juridisk rådgivning; om virksomheden er omfattet, skal vurderes ud fra lovteksten.

Sikkerhedsrollen og de andre roller

CISO’en arbejder tæt sammen med IT-chefen og DPO’en, men har sit eget formål. Hvor IT-chefen sigter mod stabil drift, ser CISO’en på, hvad der sker, når driften svigter, og DPO’en holder øje med, at persondata behandles lovligt. Overlappet er størst omkring adgange, leverandører og hændelser. Hvordan de tre roller holdes adskilt, står i DPO, CPO og CISO: hvem gør hvad?.

I mindre virksomheder er det fristende at lægge sikkerhedsansvaret hos IT-chefen eller den eksterne, der i forvejen styrer leverandørerne. Det kan fungere, så længe ledelsen ved, at den samme person så vurderer sine egne beslutninger. Vokser kravene fra kunder eller lovgivning, giver en selvstændig sikkerhedsrolle den afstand, der gør vurderingerne troværdige over for andre. Hvilke roller der kan samles hos én person, er gennemgået i Kan én ekstern dække flere roller?.

Forkortelsen CPO kan også dukke op her, fordi Cyber Protection Officer bruges om en sikkerhedsrolle. Den er forklaret på CPO: tre roller med samme forkortelse.

Det skal I lade være med

• At lade IT-leverandøren være jeres CISO · den, der driver systemerne, kan ikke uvildigt vurdere sin egen sikkerhed.
• At købe værktøjer før en risikovurdering · uden prioritering bliver pengene brugt efter, hvem der har det bedste salgsargument.
• At gemme rapporterne i direktionen · bestyrelsen skal også have et billede af risiciene.
• At forvente, at rollen fjerner ansvaret · ledelsen ejer stadig beslutningerne om risiko.

Det skal I kræve af den eksterne

• En første gennemgang med en prioriteret liste · så ledelsen ved, hvad der skal ske først, og hvorfor.
• Rapportering i et sprog, ledelsen kan bruge · risici beskrevet som konsekvenser for forretningen.
• Uafhængighed af produktleverandører · spørg til forhandleraftaler og provision.
• Tilgængelighed ved en hændelse · hvem svarer, og hvor hurtigt, uden for den faste tid.
• Dokumentation, som virksomheden ejer · politikker, risikovurderinger og beslutninger skal blive i huset.

Hvad bestyrelsen bør spørge om og modtage, er beskrevet i Bestyrelsens rolle, når IT-ledelsen ligger uden for huset.

Kilder

• Direktiv (EU) 2022/2555 (NIS2) på EUR-Lex: artikel 20 om ledelsesorganets ansvar for styring af cybersikkerhedsrisici.
• Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS2-loven) på Retsinformation: den danske gennemførelse af direktivet.

Senest gennemgået: november 2026.

Næste skridt

• Hvad er en CISO, og hvem har brug for en?
• NIS2 og ekstern IT-ledelse: hvilken rolle løfter hvad?
• Rapportering: hvad ledelsen skal se, og hvor ofte

Læs også: vCISO, fractional CISO og cyber security advisor · Rollerne i ekstern IT-ledelse

→ Kontakt · Tlf. 70 13 63 23 · Cyber security advisor hos Nielco IT