Ansvaret for IT ligger hos virksomhedens ledelse, uanset hvor meget af arbejdet der købes ude. Driftsleverandøren leverer det, kontrakten beskriver. Den eksterne IT-leder styrer leverandøren, vurderer leverancerne og forbereder ledelsens beslutninger. Ledelsen træffer beslutningerne og står til ansvar for dem. Problemerne opstår typisk i gråzonerne, hvor hver part går ud fra, at en af de andre har opgaven. Løsningen er en skriftlig fordeling, som alle tre parter kender.
Tre parter med hver sin rolle
Tænk på produktionsvirksomheden med 40 ansatte, en driftsleverandør til servere og arbejdspladser, en leverandør af forretningssystemet og en tredje til hjemmesiden. Direktøren har hidtil været kontaktpunktet for alle tre. Nu tilknyttes en ekstern IT-leder, og spørgsmålet er, hvem der fremover gør hvad.
Rollerne kan beskrives kort:
- Ledelsen · fastlægger retningen, godkender væsentlige beslutninger og bærer ansvaret.
- Den eksterne leder · omsætter retningen til krav, styrer leverandørerne og rapporterer.
- Leverandøren · udfører den aftalte drift og udvikling og rapporterer om sin leverance.
Når direktøren hidtil har haft kontakten, skal leverandøren have tydelig besked om skiftet, så henvendelser ikke fortsat går uden om den eksterne leder.
Fordelingen gælder, uanset om den eksterne er IT-chef, sikkerhedsansvarlig eller IT-driftschef. Det, der skifter, er hvilket område den eksterne dækker. Rollerne er beskrevet på Rollerne i ekstern IT-ledelse.
Det, ledelsen beholder
Selskabsloven pålægger bestyrelsen at sikre en forsvarlig organisation af selskabets virksomhed, og direktionen står for den daglige ledelse. Når IT er en bærende del af virksomheden, hører en forsvarlig styring af IT med til den organisation. Opgaverne kan løses af andre, men ansvaret for, at organisationen er forsvarlig, følger med ledelsen.
For virksomheder, der er omfattet af NIS2, er ansvaret beskrevet udtrykkeligt. Direktivets artikel 20 fastslår, at ledelsesorganerne skal godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen, og at de kan holdes ansvarlige for overtrædelser. Artikel 21 nævner sikkerheden i forsyningskæden, herunder forholdet til leverandører, som en del af de foranstaltninger, der skal træffes. Hvilken ekstern rolle der kan understøtte hvad, står i NIS2 og ekstern IT-ledelse.
I praksis beholder ledelsen beslutningen om retning, budget, risikovillighed og valg af leverandører. Bestyrelsens del er uddybet i artiklen om bestyrelsens rolle.
Det, leverandøren leverer
Driftsleverandøren har ansvaret for at levere det, der står i kontrakten og i serviceaftalen. Det omfatter typisk drift af servere og netværk, opdateringer, overvågning, backup og support. Leverandøren har også en legitim interesse i at sælge flere ydelser, og anbefalinger fra leverandøren skal læses med det for øje.
Læs serviceaftalen med henblik på, hvad der står om svartider, rapportering og ansvar ved fejl. Her står det, I kan kræve, og det er ofte mindre, end ledelsen forventer. Ydelser, som ikke står i aftalen, kan leverandøren med rette fakturere særskilt eller afvise.
Leverandøren har sjældent ansvaret for at vurdere, om ydelserne passer til jeres forretning. Den vurdering hører til hos jer.
Det, den eksterne leder ejer
Den eksterne leder står mellem ledelsen og leverandøren. Opgaverne er at oversætte forretningens behov til krav, kontrollere, at det aftalte bliver leveret, og sige til, når noget mangler. Lederen deltager i leverandørmøderne, gennemgår rapporterne og eskalerer, når problemer gentager sig.
Hvor langt lederen kan gå på egen hånd, afhænger af mandatet. Nogle aftaler giver lederen ret til at bestille ændringer inden for en ramme. Andre forudsætter, at alt af betydning forelægges direktionen. Uanset hvad skal leverandøren have besked om, hvem der taler på virksomhedens vegne. Mandatet er gennemgået i Mandat og beslutningskompetence.
Gråzonerne
Nogle opgaver falder let mellem stolene. Spørg ved hver af dem, hvem der udfører, hvem der kontrollerer, og hvem der godkender:
- Test af backup · leverandøren tager backup, men hvem kontrollerer, at en gendannelse virker?
- Oprettelse og lukning af brugere · hvem giver besked, når en medarbejder stopper?
- Licenser · hvem holder øje med, at I betaler for det, I bruger, og intet andet?
- Kundernes sikkerhedsspørgsmål · hvem udfylder spørgeskemaet, og hvem står inde for svarene?
- Opdateringer af forretningssystemet · hvem tester, før en ny version tages i brug?
- Hændelser · hvem beslutter, om en hændelse skal anmeldes, og hvem orienterer ledelsen?
En enkel ansvarsfordeling på skrift
Skriv fordelingen ned som en kort liste pr. opgave med de tre spørgsmål fra før. Start med de seks gråzoner ovenfor, og tilføj de opgaver, der har skabt tvivl det seneste år. Listen behøver ikke være lang, men den skal deles med leverandøren og bruges ved statusmøderne. Når driften er stor nok til en selvstændig rolle, kan en IT-driftschef eje listen, se IT-driftschefen udefra. Opfølgningen hører hjemme i den faste afrapportering, beskrevet i Rapportering til ledelsen.
Når der sker en hændelse
En sikkerhedshændelse eller et længere nedbrud viser, om fordelingen holder. Leverandøren skal genoprette driften. Den eksterne leder skal samle overblikket, holde kontakten til leverandøren og forberede de beslutninger, der skal træffes undervejs. Ledelsen skal beslutte, hvad der kommunikeres til kunder og medarbejdere, og om hændelsen skal anmeldes til en myndighed.
Aftal på forhånd, hvem der ringer til hvem, og hvem der har ret til at bestille ekstra hjælp fra leverandøren. Roller er svære at forhandle midt i en hændelse, og uklarhed koster tid, når der er mindst af den. For virksomheder omfattet af NIS2 gælder der desuden frister for underretning efter direktivets artikel 23, og den interne fordeling skal kunne leve op til dem.
Det skal I lade være med
- At antage, at leverandøren har ansvaret for helheden · leverandøren svarer for sin kontrakt.
- At lade den eksterne leder overtage ledelsens beslutninger · indstilling og beslutning er to ting.
- At holde leverandøren uden for fordelingen · den skal kende og acceptere sin del.
- At lade gråzonerne stå åbne · de dukker op ved den første hændelse.
Det skal I kræve af den eksterne
- En skriftlig ansvarsfordeling mellem ledelse, ekstern leder og leverandører inden for de første måneder.
- Oplysning om eventuelle bindinger til de leverandører, der skal styres. Hos sitets afsender er der ingen sådanne bindinger, hverken provision eller partneraftaler.
- Faste referater fra leverandørmøder, som ledelsen kan læse.
- Varsel til ledelsen, når en beslutning ligger uden for mandatet.
Kilder
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 115 om bestyrelsens pligt til at sikre en forsvarlig organisation og § 117 om direktionens daglige ledelse.
- Direktiv (EU) 2022/2555 (NIS2) på eur-lex: artikel 20 om ledelsesorganernes ansvar, artikel 21 om foranstaltninger, herunder sikkerhed i forsyningskæden, og artikel 23 om underretning.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hverdagstegn på manglende IT-ledelse · Aftalen om ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
