Når en virksomhed har en ekstern DPO, en vCISO og en driftsleverandør, skal én person have til opgave at holde dem sammen. I de fleste virksomheder er det mest naturlige valg den eksterne IT-leder, hvis der er en, fordi rollen i forvejen prioriterer IT-arbejdet og taler med leverandørerne. Uden en IT-leder må opgaven ligge hos en navngiven person i direktionen eller den interne kontaktperson. Koordineringen kan dog aldrig gå ud over DPO’ens uafhængighed. Ledelsen holder ét samlet billede ved at have én opgaveliste, én risikoliste og et fast møde, hvor de eksterne ser hinandens punkter.
Hvorfor opgaver falder mellem stolene
Hver ekstern rolle har sin egen aftale, sin egen timeramme og sin egen kontaktperson. DPO’en ser på persondata, vCISO’en på informationssikkerhed, og driftsleverandøren holder systemerne kørende. Hver for sig kan de gøre deres arbejde godt, og alligevel kan virksomheden stå med huller.
Typiske eksempler:
- En ny leverandør bliver valgt, uden at hverken DPO eller vCISO er spurgt.
- DPO’en og vCISO’en beder driftsleverandøren om to forskellige rapporter om adgangsstyring.
- Et brud på persondatasikkerheden bliver håndteret teknisk, men ingen tager stilling til, om det skal anmeldes til Datatilsynet.
- Tre rådgivere leverer hver sin rapport til direktionen, og ingen af dem nævner de andres anbefalinger.
Hullerne opstår typisk, fordi ingen har fået ansvaret for at se det hele samlet. Forskellen på rollerne er forklaret i DPO, CPO og CISO: hvem gør hvad?.
Hvem koordinerer
Der er tre realistiske muligheder, og valget afhænger af, hvilke roller virksomheden har.
Den eksterne IT-leder. Har virksomheden en ekstern IT-chef, er det oplagt at lægge koordineringen dér. Rollen ejer i forvejen prioriteringen af IT-arbejdet og styrer driftsleverandøren. Koordineringen skal stå i aftalen og indgå i timerammen, så den ikke tager tid fra de øvrige opgaver.
En person i direktionen. Uden en IT-leder må en direktør eller økonomichef holde sammen på det. Opgaven kræver mest af alt tid og en fast struktur. Personen skal have mandat til at bede de eksterne om at tale sammen og til at afgøre, hvem der gør hvad.
Den interne kontaktperson. I mindre virksomheder kan en medarbejder, der i forvejen er kontaktperson for de eksterne, stå for det praktiske. Beslutningerne skal dog blive i direktionen. Rollen er beskrevet i Den interne kontaktperson.
Hvis én ekstern dækker flere af rollerne, bliver koordineringen lettere, men det rejser andre spørgsmål om interessekonflikter, se Kan én ekstern dække flere roller?.
DPO’en i koordineringen
DPO’en har en særstilling. Efter databeskyttelsesforordningens art. 38, stk. 3, må DPO’en ikke modtage instrukser om, hvordan opgaverne udføres, og har sin egen linje til den øverste ledelse. Koordinatoren kan derfor invitere DPO’en med, dele planer og bede om vurderinger, men kan ikke styre DPO’ens konklusioner eller filtrere rapporterne.
I praksis betyder det, at DPO’en deltager i det fælles møde og bidrager til den fælles liste, men bevarer sin egen linje til direktionen. Hvad beskyttelsen indebærer, står i Må ledelsen instruere eller afskedige DPO’en?.
Værktøjerne
Tre enkle værktøjer holder billedet samlet.
Én opgaveliste. Alle opgaver, der kommer fra de eksterne, samles ét sted med ejer, frist og status. Det gælder også revisorens bemærkninger og krav fra kunder. Listen ligger i virksomhedens egne systemer, så den bliver, når en ekstern skifter.
Én risikoliste. DPO’en, vCISO’en og IT-lederen ser hver sin del af risikobilledet. Listerne skal samles, så direktionen ser risici for persondata, sikkerhed og drift i sammenhæng, se Én risikoliste for ledelsen.
Et fast møde. Et møde hver måned eller hvert kvartal, hvor de eksterne gennemgår listen sammen. Driftsleverandøren deltager, når der er punkter, der vedrører den. Hver rolle rapporterer fortsat selv, og rapporterne bliver lettere at læse, når punkterne allerede er afstemt på mødet.
En ansvarsmatrix, der viser, hvem der udfører, godkender, rådgiver og orienteres, gør det lettere at afgøre tvivlsspørgsmål. Hvordan den bygges, står i Rollebeskrivelse og ansvarsmatrix.
Et tænkt eksempel
En virksomhed med 60 ansatte har en ekstern DPO, en vCISO på nogle dage om måneden og en driftsleverandør. Direktøren får tre rapporter, der ikke henviser til hinanden. Virksomheden vil skifte lønsystem, og ingen har overblikket.
Direktøren beslutter, at vCISO’en koordinerer, fordi det er den rolle, der har mest tid og bedst kender leverandørerne. Der indføres et kvartalsmøde og en fælles opgaveliste. Ved skiftet af lønsystem bliver DPO’en og vCISO’en spurgt, før tilbuddene sammenlignes, og driftsleverandøren får én samlet liste med krav. DPO’en sender fortsat sin egen årsrapport direkte til direktøren.
Når en af de eksterne skifter
En ekstern rolle kan ophøre, og så viser det sig, om koordineringen har virket. Ligger opgaver, risici og beslutninger i den fælles liste, kan en ny DPO eller vCISO komme hurtigt i gang. Ligger de i den afgående rådgivers egne noter, skal meget bygges op igen. Koordinatoren bør derfor sikre, at de øvrige eksterne bliver orienteret om skiftet, og at den nye får adgang til listen fra første dag. Hvordan en overdragelse forberedes, står i artiklen om overdragelse fra ekstern.
Det skal I lade være med
- At antage, at de eksterne taler sammen af sig selv · de har hver sin aftale og sin egen timeramme.
- At lade koordinatoren styre DPO’ens vurderinger · det strider mod forordningen.
- At samle tre rapporter uden at afstemme dem · direktionen får modstridende anbefalinger.
- At lægge koordineringen hos driftsleverandøren · leverandøren kommer til at prioritere sit eget arbejde.
- At glemme koordineringen i aftalen · uden timer til opgaven bliver den nedprioriteret.
Det skal I kræve af den eksterne
- ☐ Deltagelse i et fast fælles møde med de øvrige eksterne.
- ☐ Opgaver og risici registreret i den fælles liste i jeres systemer.
- ☐ Oplysning til koordinatoren, når en anbefaling berører de andre roller.
- ☐ Respekt for DPO’ens uafhængighed i både møder og rapporter.
- ☐ Hvis den eksterne er koordinator, at opgaven står i aftalen med en timeramme.
Næste skridt er at skrive alle eksterne IT-roller og leverandører ned på én side, notere hvem de rapporterer til, og udpege den person, der fremover holder dem sammen. Rollerne er samlet under rollerne i ekstern IT-ledelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Revisoren og den eksterne IT-leder · Kan én ekstern dække flere roller?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
