Inden for IT-ledelse kan CPO betyde tre forskellige ting. Cyber Protection Officer er en sikkerhedsrolle, der ligger tæt på CISO’en. Company Protection Officer er en bredere titel, der kan dække alt fra fysisk sikring til virksomhedens samlede risici. Chief Privacy Officer er den ledende ansvarlige for privatliv og persondata. Forkortelsen siger derfor intet sikkert om opgaverne, og når en kunde, en leverandør eller en kandidat bruger den, er det første skridt at spørge, hvilken af de tre der menes.
Tre betydninger i overblik
De tre roller har det til fælles, at de handler om beskyttelse. Det, der beskyttes, er forskelligt.
- Cyber Protection Officer · beskytter systemer og data mod angreb og nedbrud.
- Company Protection Officer · beskytter virksomheden som helhed, ofte også mennesker, bygninger og værdier.
- Chief Privacy Officer · beskytter de personer, virksomheden behandler oplysninger om, og deres ret til privatliv.
Uden for IT-ledelse bruges CPO også om helt andre titler, fx Chief Product Officer i softwarevirksomheder. Det øger behovet for at spørge, især i softwarevirksomheder, hvor produktchefen ofte har netop den titel, og hvor samme person kan blive bedt om at svare på spørgsmål om privatliv i produktet.
Ingen af de tre betydninger er fastlagt i dansk lovgivning, og ingen af dem er en beskyttet titel. Indholdet afhænger derfor af den konkrete stillingsbeskrivelse eller aftale. Rollerne er samlet under CPO: tre roller med samme forkortelse.
Cyber Protection Officer
En Cyber Protection Officer har ansvaret for at beskytte virksomhedens IT mod angreb, misbrug og nedbrud. I praksis overlapper rollen i høj grad med en CISO, altså informationssikkerhedschefen. Nogle bruger Cyber Protection Officer om en mere driftsnær rolle, der følger med i trusler, holder øje med hændelser og koordinerer reaktionen, mens CISO’en ejer strategien og rapporteringen til ledelsen.
Andre bruger de to titler om nøjagtig det samme. Er virksomheden i tvivl, er det mest brugbare at sammenligne med beskrivelsen af CISO-rollen i Hvad er en CISO? og se, hvilke opgaver der mangler eller er tilføjet.
Company Protection Officer
Company Protection Officer er den mindst præcise af de tre. Titlen kan dække fysisk sikkerhed som adgangskontrol og alarmer, beskyttelse af medarbejdere på rejser, beredskab ved brand og strømsvigt, beskyttelse af forretningshemmeligheder eller et samlet ansvar for risici på tværs af IT, bygninger og mennesker.
Netop fordi indholdet varierer, bør ledelsen altid bede om en skriftlig opgavebeskrivelse, før titlen bruges eller accepteres. Det gælder både, når virksomheden selv vil oprette rollen, og når en kunde beder om navnet på jeres Company Protection Officer. Titlen er gennemgået nærmere i Company Protection Officer.
I en produktionsvirksomhed med 40 ansatte kan en Company Protection Officer fx have ansvaret for adgangskort, kameraer, brandberedskab og den årlige risikogennemgang, mens IT-sikkerheden ligger hos driftsleverandøren og en ekstern sikkerhedsansvarlig. I en anden virksomhed kan samme titel betyde, at personen også ejer IT-sikkerheden. Begge dele kan være fornuftigt, når det står skrevet.
Chief Privacy Officer, og hvor DPO’en adskiller sig
En Chief Privacy Officer er den ledende ansvarlige for, hvordan virksomheden håndterer personoplysninger. Rollen er strategisk. Den lægger linjen for privatliv i produkter, markedsføring og interne processer og sidder typisk i eller tæt på direktionen. Ingen lov kræver en Chief Privacy Officer.
Databeskyttelsesrådgiveren, DPO’en, er en anden figur. DPO’en er beskrevet i databeskyttelsesforordningens art. 37 til 39. Den skal udpeges i bestemte situationer, må ikke modtage instrukser om udførelsen af sine opgaver og rapporterer direkte til det øverste ledelsesniveau. DPO’en overvåger, at reglerne bliver overholdt, og skal ifølge forordningen ikke have andre opgaver, der fører til en interessekonflikt.
Forskellen er vigtig. En Chief Privacy Officer træffer beslutninger om behandlingen af persondata. En DPO kontrollerer og rådgiver om de samme beslutninger. Om én person kan have begge roller, kræver derfor en konkret vurdering af interessekonflikter, se Kan IT-chefen også være DPO? Selve DPO-rollen er forklaret i Hvad er en DPO? og Chief Privacy Officer i dybden i Chief Privacy Officer. Teksten er en forenklet beskrivelse og kan ikke bruges som juridisk rådgivning.
Sådan spørger I ind, når forkortelsen dukker op
Forkortelsen dukker typisk op i tre situationer: i et spørgeskema fra en kunde, i et tilbud fra en leverandør og i et CV. I alle tre tilfælde kan de samme spørgsmål bruges.
- Hvad står forkortelsen for i denne sammenhæng?
- Hvilke opgaver forventer I, at rollen løser?
- Hvem rapporterer rollen til, og hvilke beslutninger må den træffe?
- Er der tale om et lovkrav, et krav i en kontrakt eller et ønske?
- Hvilken dokumentation forventer I at se?
Tag NIS2-underleverandøren, der i et kundespørgeskema bliver bedt om navnet på sin CPO. Spørger direktøren ind, viser det sig ofte, at kunden blot vil vide, hvem der har ansvaret for IT-sikkerheden, og hvordan den person kontaktes. Det kan være en eksisterende CISO, en ekstern sikkerhedsansvarlig eller direktøren selv.
Det skal I lade være med
Forkortelsen frister til hurtige løsninger, og nogle af dem holder dårligt.
- At oprette en titel for at lukke et spørgeskema · en titel uden opgaver skaber en falsk tryghed hos kunden og hos jer selv.
- At gætte på betydningen · spørg, før I svarer, også selv om det føles pinligt.
- At slå Chief Privacy Officer og DPO sammen uden at vurdere det · rollerne kan stå i modsætning til hinanden.
- At give rollen til den, der har mest tid · den, der får titlen, skal have både kompetencer og mandat.
Det skal I kræve af den eksterne
Vil I have en ekstern person til at bære en af rollerne, så kræv dette.
- ☐ En skriftlig definition af, hvilken af de tre roller der er tale om.
- ☐ En opgavebeskrivelse, der passer til jeres størrelse og jeres kunders krav.
- ☐ Klarhed om forholdet til CISO, IT-chef og DPO, hvis I har dem.
- ☐ Oplysning om andre roller, personen har hos jer eller jeres leverandører.
- ☐ Fast rapportering til ledelsen om det område, rollen dækker.
Næste skridt er at finde ud af, hvem der i dag har ansvaret for sikkerhed, for virksomhedens samlede risici og for persondata. Forskellen mellem de tre ansvarsområder er sammenlignet i DPO, CPO og CISO.
Kilder
- Forordning (EU) 2016/679 (databeskyttelsesforordningen) på EUR-Lex: art. 37 til 39 om databeskyttelsesrådgiverens udpegning, stilling og opgaver, herunder art. 38, stk. 3 og 6.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Chief Privacy Officer · Ordliste
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
