Ledelsen bør have én samlet liste over IT-risici, uanset hvor mange eksterne roller der bidrager. Den eksterne IT-chef eller sikkerhedsrådgiveren samler listen, de øvrige roller melder deres risici ind, og direktionen ejer den og beslutter, hvad der skal ske med hver risiko. Listen opdateres løbende, gennemgås kvartalsvis med direktionen og forelægges bestyrelsen i en kort udgave mindst én gang om året. Artiklen viser, hvordan I undgår tre lister, der ikke taler sammen.
Tre roller, tre vinkler
Hver ekstern rolle ser risici fra sin egen side. IT-chefen ser forældede systemer, leverandører, der ikke leverer, og viden, der sidder hos én person. Sikkerhedsrådgiveren ser trusler, sårbarheder og manglende beredskab. DPO’en ser behandlinger af persondata, der mangler grundlag, eller overførsler, der ikke er vurderet. Driftsleverandøren har sin egen liste over tekniske forhold.
Alle fire vinkler er relevante. Problemet opstår, når de bliver til fire lister i fire formater med fire forskellige skalaer. Direktøren kan ikke sammenligne en høj risiko fra sikkerhedsrådgiveren med en kritisk risiko fra IT-chefen og ved derfor ikke, hvor pengene og timerne skal bruges først. Rollerne er beskrevet hver for sig under rollerne i ekstern IT-ledelse.
Hvem samler listen
Én person skal have opgaven, og den skal stå i rollebeskrivelsen. I praksis er der to gode valg.
- Den eksterne sikkerhedsrådgiver eller CISO, når sikkerhed fylder mest, fx fordi virksomheden er omfattet af NIS2-loven eller møder krav fra kunder og forsikring.
- Den eksterne IT-chef eller CTO, når de største risici handler om drift, leverandører og systemer, og sikkerhedsrollen er mindre.
Den, der samler, lader de andres vurderinger stå, bringer dem på samme form, fjerner dubletter og stiller dem op, så ledelsen kan prioritere. DPO’en bevarer sin uafhængighed og melder sine vurderinger ind uden at tage imod instrukser om indholdet. DPO’ens stilling er forklaret på siden om DPO-rollen.
Én skala for alle
Listen virker kun, hvis alle bruger samme måde at vurdere risici på. Aftal den i opstarten og skriv den øverst i dokumentet.
- Sandsynlighed på en enkel skala med tre til fem trin.
- Konsekvens for forretningen, beskrevet med almindelige ord: stop i produktionen, tab af kundedata, bøde, tabt omsætning.
- Samlet niveau ud fra de to.
- Ejer i virksomheden, ofte en direktør eller afdelingsleder.
- Tiltag og hvem der udfører det.
- Beslutning: reducere, overføre, undgå eller acceptere, med dato.
- Kilde: hvilken rolle meldte risikoen ind.
Kildefeltet gør det muligt at se, hvem der skal spørges, når en risiko skal uddybes. Metoden for selve sikkerhedsvurderingen kan være mere detaljeret i sikkerhedsrollens eget arbejdspapir. Til ledelsen skal den være kort.
Skalaen skal også bruges til at sammenligne over tid. Flytter en risiko sig fra højt til middel efter et tiltag, skal det kunne ses i listen med dato. Så kan ledelsen følge med i, om indsatsen virker, og bestyrelsen kan se, at de største punkter bliver mindre. En liste, hvor niveauerne aldrig ændrer sig, er et tegn på, at tiltagene ikke bliver gennemført, eller at listen ikke bliver opdateret.
Hvem ejer listen
Direktionen ejer risikolisten og træffer beslutningerne om den. En ekstern rådgiver kan indstille, at en risiko accepteres, men det er ledelsen, der accepterer den. Med dato og navn ved accepten kan alle senere se, at ledelsen kendte risikoen og valgte at leve med den. Beslutningen kan med fordel også stå i beslutningsloggen.
Bestyrelsen skal sikre, at virksomheden er forsvarligt organiseret, og bør kende de væsentligste risici. For virksomheder under NIS2-loven kommer ledelsesorganets pligt til at godkende tiltagene mod cybersikkerhedsrisici og følge med i, at de virker. Den samlede liste er et naturligt grundlag for det tilsyn.
Driftsleverandøren bør bidrage med sin viden om de tekniske forhold. Sammenstillingen hører dog hjemme hos en rolle, der arbejder på virksomhedens vegne, fordi en del af risikoen ofte er knyttet til leverandøren selv.
Hvor ofte
Listen opdateres, når en rolle opdager noget nyt, og den, der samler, lægger nye risici ind inden for få dage. Direktionen gennemgår hele listen hvert kvartal og de nye eller ændrede punkter på de månedlige møder. Bestyrelsen får en kort udgave med de fem til ti største risici mindst én gang om året og oftere, hvis der sker noget væsentligt. Risikovurderingen kan stå som fast punkt i årshjulet for IT-ledelse.
Forestil jer en logistikvirksomhed med 80 ansatte, hvor IT-chefen, sikkerhedsrådgiveren og DPO’en alle kommer udefra. Sikkerhedsrådgiveren samler listen. IT-chefen melder et forældet lagerstyringssystem ind, DPO’en en ny sporingsløsning til chaufførerne, og sikkerhedsrådgiveren en manglende test af genetablering. På listen står de tre side om side, vurderet på samme skala. Direktionen kan nu se, at genetableringen bør komme først.
Det skal I kræve af de eksterne
- ☐ En navngiven person, der samler listen.
- ☐ Én fælles skala, aftalt i opstarten.
- ☐ Bidrag fra alle roller og fra driftsleverandøren.
- ☐ En ejer i virksomheden for hver risiko.
- ☐ Beslutninger om accept skrevet ind med dato.
- ☐ En kort udgave til bestyrelsen på almindeligt dansk.
- ☐ Listen gemt i jeres egen mappe.
Det skal I lade være med
- At lade hver rolle føre sin egen liste · ingen kan sammenligne dem.
- At overlade beslutningerne til de eksterne · accepten af en risiko er ledelsens.
- At give bestyrelsen hele listen · den har brug for de største punkter.
- At bruge tal uden forklaring · en score siger intet uden konsekvensen bag.
- At lade risici stå uden ejer · så bliver de liggende.
Første skridt
Bed de eksterne roller om hver at sende deres fem vigtigste risici. Aftal skalaen på et kort møde, og lad den, der skal samle, sætte dem på én liste. Gennemgå den på næste møde med direktionen. Samarbejdet mellem flere rådgivere er uddybet i flere eksterne rådgivere om IT.
Lad den første version være enkel. Det er bedre at have tolv risici på samme skala end fyrre, der ikke er gennemarbejdet. Listen kan vokse, når rytmen er på plads.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse af og tilsyn med foranstaltningerne.
- Direktiv (EU) 2022/2555 på EUR-Lex: art. 20 om ledelsesorganernes ansvar.
- Forordning (EU) 2016/679 på EUR-Lex: art. 38, stk. 3, om DPO’ens uafhængighed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPO, CPO og CISO: hvem gør hvad · Bestyrelsens rolle
→ Kontakt · Tlf. 70 13 63 23 · Cyber security advisor hos Nielco IT
