Når en IT-leder stopper, skal tre ting være på plads inden for den første uge. Nogen skal navngives som den, der svarer for området nu, virksomheden skal have adgang til det, personen havde adgang til, og I skal vide, hvilke frister der løber. Herefter afhænger det af rollen. Forsvinder IT-chefen, haster adgange og kontrakter mest. Forsvinder CISO’en, er det kundekrav og beredskabet. DPO’en er særlig, fordi en virksomhed med pligt til at have en DPO skal have en, og fordi de nye kontaktoplysninger skal meddeles Datatilsynet. Ledelsens ansvar flytter sig ingen steder i mellemtiden.
Tre ting, der gælder for alle roller
Navngiv en ansvarlig. Vælg én person, også selv om det kun er for en periode, og fortæl det til medarbejdere og leverandører. En direktør, der selv tager det de første dage, er en løsning, så længe det er sagt højt og har en slutdato.
Sikr adgangene. Administratorkonti, adgangskodeboks, leverandørportaler og mailkonti kan stå i personens navn. Har personen stadig en opsigelsesperiode, er det nu, der skal ryddes op. Er personen gået fra dag til dag, så kontakt leverandørerne samme dag. Den praktiske rækkefølge er gennemgået i Adgange, fortrolighed og dokumentation.
Lav en liste over det, der løber. Hvad udløber de næste tre måneder? Kontrakter, domæner, licenser, svarfrister over for kunder og myndigheder. Hvad havde personen lovet nogen? Listen behøver ikke være pæn, den skal være der.
IT-chefen
Her ligger det meste af den skjulte viden. Aftaler om fornyelse, løfter til leverandører og hvad der sker en gang om året, står ofte kun i én persons hoved. Fremgangsmåden fra opsigelse til overdragelse er beskrevet uge for uge under IT-chefen har sagt op.
Spørg i den første uge:
- Hvem hos leverandørerne må bestille, ændre og opsige på jeres vegne?
- Er der igangværende projekter, som nogen skal tage stilling til?
- Hvilke beslutninger kan vente, og hvilke kan ikke?
Hvis I står uden en intern afløser, er en interimløsning det oplagte. Valget mellem en intern og en ekstern er gennemgået i Konstitueret IT-chef eller ekstern interim.
CISO’en eller den sikkerhedsansvarlige
Arbejdet kan se ud til at stå stille uden konsekvenser, og det gør det ofte, lige indtil noget sker. Find ud af, hvem der er kontaktperson, hvis der indtræffer en hændelse, og om beredskabsplanen stadig peger på den, der er stoppet. Gennemgå, hvad der er lovet kunderne, og hvilke spørgeskemaer der venter.
Er virksomheden omfattet af NIS2, skal ledelsesorganet efter § 7 i NIS2-loven godkende foranstaltningerne og holde tilsyn med gennemførelsen. Det ansvar ligger hos ledelsesorganet, uanset hvem der forbereder arbejdet. Rollens forsvinden ændrer intet ved det, men I skal nu selv sikre, at tilsynet fortsat kan ske. Fremgangsmåden står under når den interne sikkerhedsansvarlige stopper.
DPO’en
Her gælder reglerne mere direkte end for de andre roller.
Har I pligt til at have en DPO? Efter databeskyttelsesforordningens art. 37, stk. 1, skal den dataansvarlige altid udpege en, når betingelserne er opfyldt. Pligten forsvinder ikke, fordi personen stopper. Er I i tvivl, så læs Hvornår skal virksomheden have en DPO?. Er DPO’en frivillig, har I lidt mere tid, men I skal tage stilling og rette det, I har oplyst.
Kontaktoplysningerne skal ajourføres. Art. 37, stk. 7, kræver, at I offentliggør DPO’ens kontaktoplysninger og meddeler dem til tilsynsmyndigheden. Stopper DPO’en, er oplysningerne forkerte. Rækkefølgen ved et skift står i DPO’ens kontaktoplysninger.
Henvendelser må ikke forsvinde. Registrerede kan kontakte DPO’en efter art. 38, stk. 4, og DPO’en er kontaktpunkt for Datatilsynet efter art. 39, stk. 1, litra e. Omstil postkassen, og aftal, hvem der læser den, så sager ikke går tabt.
Rådgiveren skal stadig udpeges efter sine kvalifikationer. Art. 37, stk. 5, kræver faglige kvalifikationer. En hurtig løsning, hvor IT-chefen træder til, holder ikke, da Datatilsynets vejledning udelukker den øverste IT-ansvarlige. DPO-hvervet kan efter art. 37, stk. 6, løses på en tjenesteydelseskontrakt. Se Ekstern DPO.
IT-driftschefen
Her er truslen mindre dramatisk og lettere at overse. Leverandøren fortsætter med at levere, men ingen tjekker det. Fejl bliver liggende, faste statusmøder bliver aflyst, og aftalte rapporter læses ikke.
Gør tre ting:
- Find ud af, hvilke møder og rapporter driftschefen havde med leverandørerne, og hold dem i gang.
- Spørg leverandøren, hvilke sager der står åbne, og hvem de har brugt som kontakt.
- Bekræft over for leverandøren, hvem der må bestille og beslutte fra nu af.
Rollen er forklaret i IT-driftschefen. Er det virksomhedens teknologi, der mangler en leder, altså en CTO i en softwarevirksomhed, er forløbet et andet, se CTO’en har sagt op.
Hvilken model passer?
Når den første uge er overstået, er spørgsmålet, hvad der skal ske i de næste måneder. Tre svar går igen:
- Rollen skal besættes igen. Så giver en midlertidig leder mening, gerne med den faglige vurdering af kandidaterne som en del af opgaven, se Interim, mens I rekrutterer.
- Rollen var aldrig en fuld stilling. Så er det en god anledning til at overveje deltid, se Deltid eller interim.
- I ved det ikke endnu. Bestil en gennemgang, så I kan beslutte på et grundlag, se Gennemgangen alene.
Hos Nielco IT kan interim løbe over en længere periode, indtil den faste løsning er fundet, og gennemgangen kan købes for sig som første skridt.
Det skal I lade være med
- At vente, til stillingen er besat · det, der haster, haster nu.
- At lade IT-leverandøren overtage rollen uden en beslutning · så følger leverandøren op på sig selv.
- At lægge DPO-rollen hos den nærmeste kollega · tjek først interessekonflikter og kvalifikationer.
- At glemme at fortælle omverdenen om det · leverandører og Datatilsynet handler på de oplysninger, de har.
Det skal I kræve af den eksterne
- ☐ En liste over det, der haster, efter de første dage.
- ☐ Klarhed om, hvad der er overtaget, og hvad der stadig ligger hos ledelsen.
- ☐ Sikring af adgange i virksomhedens eget navn.
- ☐ En plan for overdragelse til den, der skal have rollen bagefter.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 37, stk. 1, 5, 6 og 7, art. 38, stk. 4, og art. 39, stk. 1, litra e.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.2 om, hvem der kan være DPO.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Anledninger til ekstern IT-ledelse · Ny direktør: overblik over IT-ledelsen
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-ledelse hos Nielco IT
