Ja, de tre titler kan ses som tre niveauer af ansvar for den samme opgave, nemlig at beskytte virksomhedens informationer. Koordinatoren holder styr på opgaverne, følger op og samler dokumentationen. Den informationssikkerhedsansvarlige ejer opgaverne og står inde for, at de bliver løst. CISO’en leder området, sætter retningen og taler med ledelsen om risiko. I praksis bruges titlerne løst, og samme person kan have dem alle tre. Det afgørende er derfor det niveau af beslutningsret, personen har fået, og om de tre niveauer tilsammen er dækket.
Tre niveauer forklaret
Koordinatorniveauet er det praktiske. Her bliver opgavelisten holdt ved lige, adgange gennemgået efter planen, kurser for medarbejderne booket og hændelser registreret. Koordinatoren skal vide, hvad der mangler, og sige til. Prioriteringen ligger et niveau højere oppe. I en virksomhed med en certificering efter ISO/IEC 27001 eller en kunde, der stiller krav om dokumentation, er det typisk koordinatoren, der holder styr på beviserne, så de kan fremlægges, når nogen spørger.
Ansvarsniveauet er ejerskabet. Den informationssikkerhedsansvarlige skal kunne svare for, at politikken bliver fulgt, at risici bliver vurderet, og at afvigelser bliver rettet. Personen træffer beslutninger inden for en ramme, som ledelsen har givet.
Ledelsesniveauet er retningen. CISO’en, Chief Information Security Officer, formulerer sikkerhedsstrategien, prioriterer mellem risici, sætter krav til leverandører og rapporterer til direktion og bestyrelse. Hvornår ledelsen bør overveje en CISO, er forklaret i artiklen om CISO-rollen.
Hvorfor titlerne bliver blandet sammen
I mange mindre virksomheder er der én person, der har fået sikkerheden ved siden af sit egentlige job. Det kan være en IT-medarbejder, en controller eller kvalitetschefen. Personen får titlen sikkerhedsansvarlig, fordi den lyder rigtig, men i hverdagen arbejder vedkommende som koordinator uden ret til at beslutte noget, der koster penge eller ændrer arbejdsgange.
Omvendt ses det, at en virksomhed får en ekstern rådgiver med CISO-titel, som kommer med gode anbefalinger, men at ingen internt har tid til at føre dem ud i livet. Så er ledelsesniveauet dækket, og koordinatorniveauet mangler.
Forkortelser og titler på sikkerhedsområdet er samlet i ordlisten, og de mange betegnelser for en sikkerhedsleder udefra gennemgås i artiklen om vCISO og fractional CISO.
Ledelsens ansvar ligger fast
Uanset hvordan titlerne fordeles, bliver det øverste ansvar hos ledelsen. For virksomheder omfattet af NIS2 lægger direktivets art. 20 fire ting hos ledelsesorganerne. De godkender virksomhedens tiltag mod cybersikkerhedsrisici, de holder øje med, at tiltagene bliver gennemført, de kan stilles til ansvar ved overtrædelser, og deres medlemmer skal deltage i kurser. Reglerne er gennemført i dansk ret ved lov nr. 434 af 6. maj 2025. Hverken direktivet eller loven kræver, at virksomheden ansætter en CISO, og det er op til virksomheden selv at organisere arbejdet.
Det betyder, at selv den bedste koordinator og den dygtigste CISO arbejder på ledelsens mandat. Hvordan NIS2 påvirker valget af rolle, står i NIS2 og valg af rolle. Gennemgangen af reglerne er forenklet og bør suppleres med juridisk bistand, hvis I er i tvivl om, hvorvidt I er omfattet.
Hvilken kombination passer
Fordelingen mellem intern og ekstern afhænger af størrelse, krav og hvor meget sikkerhedsarbejde der er i hverdagen. Tre mønstre går igen.
- Intern koordinator og ekstern CISO · passer de fleste mindre virksomheder. Koordinatoren kender huset og holder opgaverne i gang, og den eksterne leder sætter retningen og rapporterer til ledelsen.
- Intern ansvarlig og ekstern rådgiver · passer, når virksomheden har en erfaren medarbejder med tid til ejerskabet, men har brug for sparring og et blik udefra.
- Ekstern CISO, der også koordinerer · kan fungere i en meget lille virksomhed, men gør virksomheden afhængig af én person udefra og bør have en plan for overdragelse.
Tag NIS2-underleverandøren med 60 ansatte, hvor en stor kunde kræver dokumentation for sikkerhedsarbejdet hvert år. Her kan en intern koordinator samle beviserne løbende, mens en ekstern CISO vurderer risici, skriver politikken og møder kundens krav. Direktøren godkender og følger op. Hver af de tre har en klar plads.
Hvem internt der skal være koordinator
Koordinatoren skal have tid, adgang til de rigtige mennesker og et naturligt kendskab til hverdagen. En IT-medarbejder er ofte et godt valg, men kun hvis personen har lov til at sige fra over for kolleger og ledelse, når noget ikke bliver fulgt. Koordinatoren bliver den eksterne leders vigtigste samarbejdspartner, og rollen minder om den interne kontaktperson, som er beskrevet i Intern kontaktperson.
Bemærk, at en koordinator for IT-sikkerhed uden det øverste ansvar efter Datatilsynets vejledning godt kan være DPO ved siden af, mens den øverste IT-ansvarlige ikke kan. Det er værd at vide, hvis rollerne skal fordeles i en lille organisation.
Det skal I lade være med
- At give titlen uden tid · en sikkerhedsansvarlig med to timer om måneden bliver en postkasse.
- At kalde koordinatoren ansvarlig · personen kan ikke svare for beslutninger, vedkommende ikke må træffe.
- At tro, at en ekstern CISO fjerner ledelsens ansvar · ansvaret bliver hos direktion og bestyrelse.
- At lade alle tre niveauer ligge hos IT-leverandøren · leverandøren skal ikke kontrollere sig selv.
- At glemme stedfortræderen · sikkerhedsarbejdet går i stå, når koordinatoren holder ferie.
Det skal I kræve af den eksterne
Henter I CISO-niveauet udefra, bør aftalen dække disse punkter.
- ☐ En skriftlig fordeling af opgaver mellem den eksterne, koordinatoren og ledelsen.
- ☐ En plan for, hvordan koordinatoren bliver oplært og støttet.
- ☐ Fast rapportering til direktionen om risici, status og afvigelser.
- ☐ Politikker, risikovurderinger og logbøger gemt hos jer, så en anden kan tage over.
- ☐ Åbenhed om bindinger til leverandører af sikkerhedsløsninger.
- ☐ Klar besked om, hvilke beslutninger der kræver ledelsens godkendelse.
Næste skridt er at skrive navnene på de personer, der i dag har sikkerhedsopgaver, ved siden af de tre niveauer. Står et niveau tomt, ved I, hvad der mangler. Rollen samlet set er beskrevet på siden om CISO og sikkerhedsledelse.
Kilder
- Direktiv (EU) 2022/2555, EUR-Lex: art. 20 om ledelsesorganernes godkendelse, tilsyn, ansvar og kurser.
- Retsinformation: lov nr. 434 af 6. maj 2025: loven, der gennemfører direktivet i Danmark.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: hvem der kan og ikke kan være DPO.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Compliance-ansvarlig, CISO og DPO · Hvad er en CISO?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Security Advisor hos Nielco IT
