Når et cyberangreb eller et længere nedbrud er overstået, og driften kører igen, står ledelsen tilbage med et vigtigt spørgsmål. Hvem burde have ejet det, der gik galt? Evalueringen bør derfor handle om ansvar og roller lige så meget som om teknik. Viser den, at ingen havde overblik over risici og beredskab, peger det på en sikkerhedsrolle som en CISO. Viser den, at leverandøren ikke leverede det aftalte, og at ingen holdt øje, peger det på en IT-driftschef. Viser den, at beslutninger om systemer og investeringer var blevet udskudt i årevis, peger det på en IT-chef. Artiklen handler om ledelsens evaluering bagefter og om valget af rolle. Selve håndteringen af en hændelse er et andet emne.
Hvorfor ledelsen selv skal evaluere
Leverandøren og de teknikere, der hjalp under hændelsen, laver typisk en teknisk rapport. Den forklarer, hvad der skete, og hvad der er rettet. Den svarer sjældent på, hvorfor det kunne ske i virksomheden, og hvem der skulle have opdaget svaghederne. Det spørgsmål tilhører ledelsen.
I en NIS2-virksomhed er det efter direktivets artikel 20 ledelsesorganerne, der godkender sikkerhedsforanstaltningerne og holder øje med, at de bliver ført ud i livet. En hændelse er en naturlig anledning til at se på, om det tilsyn har fungeret. Også uden for NIS2 skal bestyrelsen i et selskab efter selskabslovens § 115 have en virksomhed, der er forsvarligt organiseret, med procedurer for styring af risici. Hvordan rollerne kan fordeles i forhold til kravene, er beskrevet i NIS2 og valg af rolle.
Spørgsmålene til evalueringen
Evalueringen kan bygges op omkring en række spørgsmål, som ledelsen besvarer sammen med de involverede. Formålet er at finde huller i ansvarsfordelingen.
- Var risikoen kendt, før hændelsen skete? Hvem kendte den, og hvorfor blev den ikke håndteret?
- Fandtes der en plan for, hvad der skulle ske ved en hændelse, og vidste de rette personer, at den fandtes?
- Hvem tog beslutningerne under hændelsen, og havde de mandat til det?
- Leverede leverandøren det, der stod i aftalen, fx backup, overvågning og svartider?
- Hvem i virksomheden havde ansvaret for at kontrollere leverandørens leverancer?
- Var der beslutninger om systemer eller investeringer, der var blevet udskudt, og som gjorde hændelsen værre?
- Hvem rapporterede til ledelsen om IT-risici i året før, og hvad blev der rapporteret?
Svarene skrives ned i et kort notat, som ledelsen godkender.
Et tænkt eksempel viser, hvordan svarene kan falde. En grossist med 60 ansatte bliver ramt af et angreb, der krypterer filserveren og lammer ordremodtagelsen i fire dage. Evalueringen viser, at driftsleverandøren tog backup hver nat, men at ingen havde afprøvet gendannelsen i to år, og at den tog langt længere tid end forventet. Den viser også, at et kundekrav om sikkerhedsdokumentation fra året før var blevet besvaret af økonomichefen uden faglig hjælp, og at ingen i ledelsen havde fået en oversigt over IT-risici. Svarene peger på to huller. Ingen fulgte op på leverandørens leverancer, og ingen ejede sikkerheden. Ledelsen vælger derfor en sikkerhedsrolle på deltid, som også får ansvaret for at følge op på driftsaftalen, og aftaler at se på fordelingen igen efter et år.
Når svarene peger på en sikkerhedsrolle
Viser evalueringen, at ingen ejede risikovurderingen, at beredskabsplanen manglede eller var forældet, og at ledelsen ikke modtog rapportering om sikkerhed, mangler virksomheden en sikkerhedsrolle. Det kan være en CISO eller en cyber security advisor på deltid, der ejer risikolisten, politikkerne og beredskabet og rapporterer fast til ledelsen. Rollen er forklaret i Hvad er en CISO?.
Når svarene peger på en IT-driftschef
Viser evalueringen, at backuppen ikke virkede, at overvågningen ikke var sat op som aftalt, eller at leverandøren reagerede langsomt, uden at nogen havde fulgt op tidligere, mangler virksomheden en, der holder leverandøren op på aftalen. Det er IT-driftschefens rolle. Den er beskrevet på siden om IT-driftschefen udefra.
Når svarene peger på en IT-chef
Viser evalueringen, at hændelsen blev værre, fordi gamle systemer aldrig blev udskiftet, fordi ingen havde prioriteret investeringerne, eller fordi ingen havde overblikket over systemer og aftaler, mangler virksomheden en IT-chef. Rollen ejer prioriteringen og leverandørstyringen og rådgiver direktionen om valgene. Den er forklaret i Hvad laver en ekstern IT-chef?.
Ofte peger svarene i flere retninger. Så er det værd at overveje, om én person kan dække to roller, eller om ansvaret skal deles. Spørgsmålet er gennemgået i Kan én ekstern dække flere roller?.
Tidspunktet for beslutningen
Efter en hændelse er der ofte et stærkt ønske om at handle hurtigt. Det er forståeligt, men valget af rolle bør vente, til evalueringen er færdig. Ellers risikerer ledelsen at løse det problem, der var mest synligt, og overse det, der lå bag. Er der brug for hjælp med det samme, kan en interimløsning dække perioden, mens evalueringen færdiggøres. Den midlertidige rolle kan også bidrage til evalueringen med et blik udefra, så længe ledelsen selv skriver konklusionerne og tager stilling til dem. Når valget er truffet, giver det mening at aftale en opfølgning efter seks og tolv måneder, hvor ledelsen ser på, om de huller, evalueringen fandt, faktisk er lukket. Hvordan valget træffes, står under Vælg rolle og model.
Det skal I lade være med
- At lade leverandøren skrive den eneste evaluering · leverandøren kan selv være en del af forklaringen.
- At lede efter en skyldig person · hullerne ligger som regel i ansvarsfordelingen.
- At vælge rolle, mens hændelsen stadig fylder · vent, til evalueringen er godkendt.
- At købe nye værktøjer i stedet for at give ansvaret en ejer · et værktøj uden ejer bliver ikke brugt.
- At lade evalueringen blive i direktionen · bestyrelsen bør se konklusionerne.
Det skal I kræve af den eksterne
- ☐ En gennemgang af evalueringens konklusioner, før rollen aftales.
- ☐ En plan for de første måneder, der lukker de huller, evalueringen fandt.
- ☐ Fast rapportering til ledelsen om de risici, der førte til hændelsen.
- ☐ En opdateret beredskabsplan, som ledelsen godkender.
- ☐ En aftalt dato for at vurdere, om tiltagene virker.
Næste møde i ledelsen
Sæt evalueringen på dagsordenen, og brug de syv spørgsmål som skabelon. Når notatet er godkendt, vælger I rolle og model ud fra svarene. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Direktiv (EU) 2022/2555 (NIS2): artikel 20 om ledelsesorganernes godkendelse af og tilsyn med foranstaltningerne.
- Lov nr. 434 af 6. maj 2025: den danske gennemførelse af NIS2.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om forsvarlig organisation og risikostyring.
Senest gennemgået: november 2026.
Næste skridt
Læs også: CISO og sikkerhedsledelse · Rapportering til ledelsen · Er ekstern IT-ledelse kun noget, man henter i en krise?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
