Den compliance-ansvarlige holder styr på, hvilke krav virksomheden skal leve op til, og hvem der ejer hvert af dem. CISO’en ejer kravene til informationssikkerhed og løser dem fagligt. DPO’en rådgiver om og overvåger reglerne for persondata. Den compliance-ansvarlige er dermed den, der ser hele listen, mens CISO’en og DPO’en hver tager sig af deres del af den. I mindre virksomheder er der sjældent en compliance-ansvarlig, og så ender kravene spredt i mailbokse, kontrakter og forsikringspolicer. Når kravene kommer fra flere kilder på én gang, bør ledelsen have én samlet oversigt over krav og ejere, uanset om der findes en person med titlen.
Hvor kravene kommer fra
Kravene til IT og informationer lander typisk fra fire retninger.
- Lovgivning · databeskyttelsesforordningen gælder næsten alle virksomheder, og for virksomheder, der er omfattet af NIS2-loven, gælder krav om styring af cybersikkerhedsrisici og underretning om hændelser.
- Kunder · store kunder stiller krav i kontrakter og spørgeskemaer, ofte med henvisning til ISO/IEC 27001 eller egne leverandørkrav.
- Forsikring · cyberforsikringer stiller betingelser, fx om flerfaktorgodkendelse og backup, og spørger til dem ved fornyelsen.
- Egne beslutninger · politikker, som ledelsen selv har vedtaget, og som virksomheden forventes at følge.
Hver kilde har sin egen modtager, og kravene kommer på forskellige tidspunkter af året, i forskellige formater og med forskellige frister. Kundekravet havner hos salgschefen, forsikringsskemaet hos økonomichefen og spørgsmålet om persondata hos HR. Ingen ser dem samlet, og derfor opdager ingen, at tre forskellige parter spørger om det samme.
Hvad en compliance-ansvarlig gør
Ordet compliance betyder overholdelse af regler og krav. En compliance-ansvarlig, på engelsk ofte compliance officer, har som kerneopgave at vedligeholde oversigten over kravene, sikre at hvert krav har en ejer, følge op på, om kravene bliver opfyldt, og rapportere til ledelsen.
I finanssektoren og andre regulerede brancher er compliancefunktionen ofte en fast og omfattende rolle. I den mindre virksomhed er der tale om et overblik, som kan passes af en person med andre opgaver, fx økonomichefen eller en kvalitetsansvarlig.
Den compliance-ansvarlige skal vide, at kravet findes, hvem der ejer det, og hvornår det sidst blev kontrolleret. Den tekniske løsning, fx opsætningen af flerfaktorgodkendelse, ligger hos fagpersonerne.
CISO’en og DPO’en har hver deres felt
CISO’en, den ledende sikkerhedsansvarlige, ejer kravene om beskyttelse af informationer og systemer. Det gælder sikkerhedspolitikken, risikovurderingen, krav til leverandører og svarene på kundernes sikkerhedsspørgsmål. Mere om sikkerhedslederen findes i artiklen om CISO’en.
DPO’en har en særlig stilling efter databeskyttelsesforordningen art. 37 til 39. DPO’en rådgiver og overvåger, men træffer ikke beslutningerne og må ikke modtage instrukser om udførelsen af opgaverne. Derfor bør DPO’en heller ikke være den, der ejer opfyldelsen af kravene om persondata. Ejerskabet ligger hos ledelsen og de personer, ledelsen udpeger. Funktionen er forklaret i artiklen om DPO’en, og samspillet mellem de faglige roller står i DPO, CPO og CISO.
Den compliance-ansvarlige spørger CISO’en og DPO’en om status. Ingen af dem bør være den compliance-ansvarlige på deres eget område, fordi de så skal kontrollere sig selv.
Hvornår en samlet oversigt er nødvendig
Behovet opstår, når kravene begynder at overlappe. Typiske tegn er disse.
- Tre kunder har sendt hver sit spørgeskema om sikkerhed i løbet af et halvt år, og svarene er skrevet af forskellige personer.
- Forsikringen spørger til en backup-procedure, som ingen kan finde.
- Virksomheden er usikker på, om den er omfattet af NIS2-loven. Spørgsmålet er behandlet i NIS2 og valg af rolle.
- En revision eller en kunde beder om dokumentation, og ingen ved, hvem der har den.
Oversigten behøver ikke være avanceret. Et regneark med kravet, kilden, ejeren, status og dato for seneste kontrol er nok til at komme i gang. Den kan med fordel kobles til ledelsens risikoliste, som er beskrevet i Samlet risikoliste for ledelsen, og til den faste rytme i årshjulet for IT-ledelse.
Et tænkt eksempel
Softwarehuset med fem udviklere har én stor kunde, der kræver dokumentation efter ISO 27001, en cyberforsikring med nye betingelser og en webshop med kundedata. Direktøren har indtil nu svaret på det hele selv.
Ledelsen beslutter, at økonomichefen fører oversigten over krav. CISO-rollen hentes udefra og ejer kravene til sikkerhed, også dem fra forsikringen. Den løbende rådgivning om persondata dækkes af en ekstern rådgiver. Hvert kvartal gennemgår økonomichefen listen med de to og rapporterer til direktøren. Kunden får hurtigere svar, og forsikringens spørgsmål bliver besvaret af den, der kender sagen. Direktøren bruger tiden på at godkende og prioritere i stedet for at lede efter dokumenter.
Det skal I lade være med
- At gøre IT-leverandøren til compliance-ansvarlig · leverandøren skal ikke kontrollere sit eget arbejde.
- At lade DPO’en eje kravene om persondata · det strider mod den rådgivende og uafhængige rolle.
- At svare på hvert spørgeskema fra bunden · en fælles samling af svar sparer tid og giver ensartede svar.
- At købe et stort compliance-værktøj først · start med listen, og vælg værktøj, når behovet er klart.
- At glemme forsikringen · betingelserne i policen er krav på linje med kundernes.
Det skal I kræve af den eksterne
Henter I CISO-rollen eller en IT-leder udefra, bør de kunne bidrage til overblikket over krav.
- ☐ En første oversigt over de krav, der rammer IT, med kilde og forslag til ejer.
- ☐ Status på sikkerhedskravene i en form, som den compliance-ansvarlige kan bruge.
- ☐ Hjælp til at samle standardsvar til kundernes spørgeskemaer.
- ☐ Tydelig besked, når et krav ligger uden for den eksternes rolle.
- ☐ Åbenhed om bindinger til leverandører af compliance- og sikkerhedsværktøjer.
- ☐ Dokumentation, der bliver hos jer, når samarbejdet slutter.
Næste skridt er at samle de krav, I har modtaget i det seneste år, fra kontrakter, spørgeskemaer og forsikring, og sætte en ejer ud for hvert. Mangler der ejere, er det dér, rollefordelingen skal begynde. Alle roller er samlet på siden om rollerne.
Kilder
- Forordning 2016/679 (databeskyttelse) på EUR-Lex: DPO-reglerne i art. 37 til 39.
- NIS2-loven på Retsinformation: krav om risikostyring og underretning om hændelser for omfattede virksomheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Informationssikkerhedskoordinator, ansvarlig eller CISO · Ansvarlig for AI-anvendelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
