En sikkerhedskonsulent tager en afgrænset opgave og leverer et resultat. En CISO ejer sikkerheden over tid og leder arbejdet, også de måneder, hvor ingen har bestilt noget. Forskellen viser sig dagen efter, at rapporten er afleveret: Hvem står så med opgaven? Konsulenten er det rigtige køb, når I kan beskrive leverancen og selv kan føre den ud i livet. Vender det samme arbejde tilbage igen og igen, og er der ingen i huset til at prioritere det, er opgaven vokset ud af konsulentformen. Valget afhænger altså af, om I mangler viden til en bestemt opgave eller en ejer af hele området.
Ordene, I møder
Ingen af ordene er en fast defineret titel, så læs opgavebeskrivelsen frem for visitkortet.
- Sikkerhedskonsulent · det brede ord. Det bruges også om fysisk sikkerhed som alarmer og adgangskontrol, så spørg, hvad der menes.
- IT-sikkerhedskonsulent · en teknisk specialist, der arbejder med opsætning, adgange, overvågning eller test.
- Informationssikkerhedskonsulent · arbejder bredere med politikker, risikovurderinger og dokumentation, ofte også det, der ligger på papir og i arbejdsgange.
- CISO · lederen af området, se Hvad er en CISO?. De engelske navne for rollen er sorteret for sig.
Det, I køber i hvert tilfælde
Hos konsulenten køber I viden og arbejdstid til en opgave, der både har en start og en afslutning. Det kan være en teknisk gennemgang af en opsætning, et udkast til sikkerhedspolitik, svar på et krævende kundeskema, en vurdering af en løsning før køb eller et kursus for medarbejderne. Resultatet er en leverance, og det er jeres sag, hvad der sker med den.
Hos CISO’en køber I ejerskab. Rollen holder planen, prioriterer, følger op og melder tilbage til ledelsen i en fast rytme. Resultatet er et sikkerhedsniveau, der holdes ved lige. Hentes rollen udefra, ligger det ofte i en løbende aftale.
Punkt for punkt ser forskellen sådan ud:
- Bestillingen · konsulenten arbejder ud fra jeres bestilling. CISO’en foreslår selv, hvad der skal bestilles.
- Tiden · konsulenten er færdig, når leverancen er godkendt. CISO’en har ingen slutdato i selve opgaven.
- Prioriteringen · konsulenten anbefaler inden for sin opgave. CISO’en vejer alle sikkerhedsopgaver mod hinanden og mod forretningens behov.
- Leverandørerne · konsulenten ser på det, der er aftalt. CISO’en stiller krav til dem og vender tilbage, indtil kravet er opfyldt.
- Ledelsen · konsulenten præsenterer måske resultatet én gang. CISO’en har en fast plads i rapporteringen til ledelsen.
- Mandatet · konsulenten må anbefale. CISO’en kan have ret til at handle på jeres vegne inden for en aftalt ramme, se mandat og beslutningskompetence.
Et forhold er ens for dem begge. Virksomhedens ansvar følger ikke med købet. Hvor NIS2-loven gælder, er det efter § 7 ledelsesorganet, der godkender sikkerhedsforanstaltningerne og holder tilsyn med dem. Det ændrer ingen af de to ved. Fordelingen er uddybet i NIS2 og ekstern IT-ledelse.
Når konsulenten er det rigtige køb
En konsulent giver mening i disse situationer:
- Opgaven kan beskrives på en halv side med en slutdato.
- Der er en navngiven person hos jer, som overtager resultatet og har tid til det.
- I mangler specialviden om en bestemt teknik eller et bestemt krav.
- I vil have en uafhængig vurdering af en anbefaling fra leverandøren.
Har I allerede en CISO eller en IT-chef med sikkerheden som ansvar, er konsulenten ofte den bedste måde at skaffe specialviden på.
Når opgaven er for stor til en konsulent
Tegnene efter længere tids sparring er gennemgået i fra rådgiver til ansvarlig. Disse viser sig, allerede når I skal skrive bestillingen:
- I kan ikke formulere opgaven · en konsulent svarer på det spørgsmål, I stiller. Nogen skal vælge spørgsmålene.
- Der er ingen slutdato · kundekrav, risikovurdering og opfølgning på leverandører kommer igen hvert år.
- Rapporten mangler en modtager · den seneste ligger i en mappe, fordi ingen hos jer har tid eller mandat til at bruge den.
- Flere konsulenter og ingen, der samler · hver har givet sin liste, og ledelsen kan ikke se, hvad der er vigtigst. Se hvem der koordinerer de eksterne.
- Nogen skal svare for status · en kunde, forsikringen eller bestyrelsen spørger, hvem der står for sikkerheden, og det ærlige svar er et navn på en gammel faktura.
Et tænkt eksempel
En maskinfabrik med 70 ansatte får et spørgeskema fra sin største kunde. En sikkerhedskonsulent hjælper med svaret og leverer en liste med mangler. Et år senere kommer skemaet igen. Nogle punkter er lukket, resten står, og ingen ved hvorfor. Konsulenten har leveret det, der var bestilt. Det, der manglede, var en ejer af listen.
Fabrikken har to veje. Den kan pege på en intern ansvarlig og fortsætte med konsulenter til de enkelte opgaver, eller den kan hente en CISO på deltid, der overtager listen. Begge dele kan virke, men den første kræver en medarbejder med tid og mandat.
Begge dele på samme tid
De to roller udelukker ikke hinanden. I mange forløb skriver CISO’en opgaven, konsulenten udfører det tekniske, og CISO’en læser resultatet og følger op.
Kan konsulenten så selv blive jeres CISO? Nogle kan. Spørg efter erfaring med at prioritere over flere år, skrive til en ledelse uden teknisk baggrund og holde leverandører fast. Spørg også til bindinger, for en konsulent ansat hos en forhandler kan have en interesse i anbefalingen, se uvildig IT-rådgivning.
Er I i tvivl om, hvad I står med, er det nyttigt at få overblikket først. Gennemgangen kan hos Nielco IT købes for sig, og den eksterne sikkerhedsrolle fortsætter derefter hver måned inden for en aftalt timeramme. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At købe en rapport, når I mangler en ejer · den ændrer intet, hvis ingen tager den videre.
- At kalde konsulenten jeres CISO · så regner alle med et ansvar, aftalen aldrig har givet.
- At hente en leder til en enkeltopgave · en afgrænset opgave kræver ingen løbende rolle.
- At sammenligne på titlen · sammenlign opgavebeskrivelserne.
Det skal I kræve af den eksterne
- ☐ En skriftlig beskrivelse af leverancen eller rollen, med slutdato eller fast rytme.
- ☐ Klar besked om, hvem der ejer resultatet bagefter.
- ☐ Anbefalinger prioriteret efter betydningen for forretningen.
- ☐ Oplysning om alle bindinger til leverandører.
- ☐ Et skriftligt mandat, hvis den eksterne skal handle for jer.
Find som næste skridt den seneste rapport om sikkerhed, I har fået. Skriv et navn ud for hvert punkt. Er det svært, mangler I en ejer, og så er det dér, I skal begynde.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ekstern IT-afdeling, IT-support, IT-konsulent eller IT-chef · Informationssikkerhedskoordinator og CISO
→ Kontakt · Tlf. 70 13 63 23 · Cyber Security Advisor hos Nielco IT
