En CISO er den person, der leder virksomhedens arbejde med informationssikkerhed. Forkortelsen står for Chief Information Security Officer, på dansk ofte informationssikkerhedschef. CISO’en vurderer risici, fastlægger politikker, følger op på leverandører og rapporterer til ledelsen om, hvor sikker virksomheden er. Rollen er relevant for virksomheder, hvor et sikkerhedsbrud vil ramme forretningen hårdt, hvor kunder stiller krav til dokumentation, eller hvor NIS2-loven gælder. Mange mindre virksomheder dækker behovet med en CISO på deltid udefra.
Hvad CISO’en ejer
Rollen samler de opgaver, der handler om at beskytte information, uanset om den ligger i egne systemer, hos en leverandør eller på papir. De vigtigste er:
- Risikovurdering · en løbende vurdering af, hvad der kan gå galt, hvor sandsynligt det er, og hvad det vil koste forretningen.
- Politikker og regler · en informationssikkerhedspolitik, som ledelsen godkender, og konkrete regler for adgange, backup, kryptering og brug af udstyr.
- Leverandørerne · krav til sikkerheden hos de leverandører, der har adgang til systemer eller data, og opfølgning på, at kravene bliver overholdt.
- Beredskab · en plan for, hvem der gør hvad, når en hændelse rammer, og øvelser, så planen virker.
- Rapportering · en kort status til direktion og bestyrelse, så ledelsen kan træffe beslutninger om sikkerhed på et oplyst grundlag.
- Uddannelse · korte, tilbagevendende forløb, så medarbejderne kender de mest almindelige angreb, fx falske mails og opkald, og ved, hvem de skal sige til.
- Kundekrav · svar på spørgeskemaer og dokumentation til kunder, der vil vide, hvordan virksomheden beskytter deres data.
Mange CISO’er arbejder efter et ledelsessystem for informationssikkerhed, ofte kaldet ISMS, fx efter standarden ISO/IEC 27001. Standarden er et værktøj til at holde styr på arbejdet. Om virksomheden skal certificeres efter den, afhænger af kunderne og markedet, og det er en beslutning, CISO’en kan forberede for ledelsen.
CISO’en udfører sjældent selv det tekniske arbejde. Opsætning af firewalls, opdateringer og overvågning ligger hos driftsleverandøren eller den interne IT-funktion, mens CISO’en fastlægger kravene og kontrollerer, at de bliver opfyldt.
CISO, IT-chef og DPO på hver sin stol
Rollerne bliver tit blandet sammen, fordi de alle har med IT og data at gøre. IT-chefen ejer systemerne og leverandørerne og skal få IT til at understøtte forretningen. CISO’en vurderer, om det hele er tilstrækkeligt beskyttet, og kan derfor komme til at stille spørgsmål ved IT-chefens beslutninger. DPO’en, databeskyttelsesrådgiveren, overvåger, at reglerne om persondata bliver fulgt, og har en særlig uafhængig stilling efter databeskyttelsesforordningen.
I en mindre virksomhed kan IT-chefen og CISO’en godt være samme person, så længe ledelsen er bevidst om, at sikkerheden så bliver vurderet af den, der også har truffet beslutningerne. Hvornår rollerne kan samles, er gennemgået i artiklen om kombinerede roller, og forskellen på de tre roller i DPO, CPO og CISO: hvem gør hvad?
NIS2 og ledelsens ansvar
NIS2-loven trådte i kraft 1. juli 2025 og gælder for de væsentlige og vigtige enheder, der er omfattet af lovens bilag. Loven kræver, at enhederne træffer passende og forholdsmæssige foranstaltninger til at styre risici for sikkerheden i deres net- og informationssystemer (§ 6). Foranstaltningerne skal godkendes af enhedens ledelsesorgan, som også fører tilsyn med gennemførelsen, og medlemmerne af ledelsesorganet skal deltage i relevante kurser (§ 7).
Loven nævner ingen bestemt funktion eller titel til at udføre arbejdet og placerer ansvaret hos ledelsesorganet. En CISO, ansat eller ekstern, kan være den, der forbereder beslutningerne, men godkendelsen og tilsynet bliver i ledelsesorganet. Hvordan opgaverne kan fordeles mellem de eksterne roller, står i NIS2 og ekstern IT-ledelse. Teksten er en forenklet gengivelse og ikke juridisk rådgivning.
Hvem har brug for rollen?
Behovet handler mindre om antallet af ansatte og mere om, hvad der står på spil. Ledelsen bør overveje en CISO, hvis et eller flere af disse forhold gælder:
- Virksomheden er omfattet af NIS2-loven eller leverer til en, der er.
- Kunder sender spørgeskemaer om sikkerhed, og ingen kan svare med sikkerhed.
- Cyberforsikringen skal fornyes, og selskabet beder om oplysninger om backup, adgangsstyring og beredskab.
- Driften afhænger af få systemer, hvor et nedbrud på en uge vil være alvorligt.
- Der er mange leverandører med adgang til systemer og data, og ingen kontrollerer dem samlet.
Tænk på NIS2-underleverandøren med 60 ansatte, der leverer reservedele til et forsyningsselskab. Kunden kræver dokumentation for sikkerhedsarbejdet, og direktøren har ingen at sende spørgsmålene videre til. Her er det sikkerhedsrollen, der mangler, selv om IT-driften i øvrigt fungerer, og leverandøren svarer hurtigt, når noget går ned.
Ansat, på deltid eller udefra
En fuldtidsansat CISO giver mening i større organisationer med mange systemer og et højt risikoniveau. I mindre virksomheder er der sjældent opgaver nok til en fuld stilling, og her bruges i stedet en ekstern CISO nogle dage om måneden. Den model går under flere navne, bl.a. vCISO, fractional CISO og cyber security advisor. Navnene er forklaret i vCISO, fractional CISO og cyber security advisor, og rollen i overblik under CISO, vCISO og cyber security advisor.
Det skal I lade være med
Fejlene herunder går igen, når sikkerhedsansvaret skal placeres for første gang.
- At overlade sikkerheden til driftsleverandøren alene · leverandøren kan ikke uvildigt vurdere sin egen leverance.
- At tro, at en CISO flytter ansvaret · bestyrelse og direktion ejer det fortsat, også efter NIS2-loven.
- At starte med værktøjer · køb af nye sikkerhedsprodukter før en risikovurdering rammer sjældent de største risici.
- At få rapporter, ingen læser · aftal en kort fast form, som ledelsen faktisk bruger på møderne. Se også Bestyrelsens rolle.
Det skal I kræve af den eksterne
Henter I CISO-rollen udefra, så stil disse krav fra begyndelsen.
- ☐ Dokumenteret erfaring med risikovurdering, beredskab og leverandørstyring.
- ☐ Uafhængighed af de leverandører, der skal vurderes.
- ☐ En første gennemgang med en prioriteret liste over risici og tiltag.
- ☐ Fast rapportering til ledelsen i et format, I har godkendt.
- ☐ Tilgængelighed ved hændelser, også uden for den faste tid, og klarhed om vilkårene for det.
Næste skridt er at spørge jer selv, hvem der i dag kan svare en kunde, en forsikring eller en myndighed om jeres sikkerhed. Er svaret ingen, er rollen værd at undersøge nærmere, og en første samtale kan afklare, om behovet er en hel CISO eller en mindre del af rollen.
Kilder
- Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS2-loven): § 6 om foranstaltninger, § 7 om ledelsesorganets godkendelse, tilsyn og kurser, § 33 om ikrafttræden.
- Direktiv (EU) 2022/2555 (NIS2-direktivet): art. 20 om ledelsesorganernes ansvar, som loven gennemfører.
- ISO/IEC 27001: ISO’s egen side om standarden for et ISMS.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en DPO? · Rollerne i ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Cyber Security Advisor hos Nielco IT
