Som udgangspunkt ja. vCISO, fractional CISO, CISO as a service og cyber security advisor er alle betegnelser for en ekstern person, der leder virksomhedens sikkerhedsarbejde på deltid og over længere tid. Forskellen ligger i, hvad den enkelte udbyder lægger i ordet. Nogle bruger betegnelsen om et fuldt ledelsesansvar med mandat og rapportering til bestyrelsen, andre om en rådgiver, der svarer på spørgsmål, når de bliver stillet. Derfor bør ledelsen se på indholdet i aftalen og lade navnet være det mindst vigtige.
Fire betegnelser med fælles kerne
Alle fire tager udgangspunkt i rollen som CISO, virksomhedens øverste ansvarlige for informationssikkerhed. Rollen er beskrevet i Hvad er en CISO?
- vCISO · v står for virtuel. Betegnelsen opstod, da sikkerhedsledelse begyndte at blive leveret på afstand og på deltid. I dag betyder den blot, at personen ikke er ansat.
- Fractional CISO · fractional betyder brøkdel. Virksomheden køber en fast andel af en erfaren CISO’s tid, fx et antal dage om måneden. Ordet er forklaret i Fractional: hvad betyder det på dansk?
- CISO as a service · udtrykket er lånt fra IT-drift, hvor alt fra servere til programmer leveres som en løbende ydelse. Det signalerer en fast aftale med et aftalt indhold. Se As a service om ledelse.
- Cyber security advisor · den mest beskedne af titlerne, som lægger vægt på rådgivning. Nogle udbydere bruger den om præcis samme rolle som de tre andre.
Hvor navnene dækker det samme
I de fleste aftaler er kernen den samme uanset betegnelsen. Den eksterne begynder med at kortlægge sikkerheden, laver en prioriteret plan og følger den derefter over måneder og år. Vedkommende deltager i møder med leverandører, svarer på kunders spørgeskemaer, forbereder beredskabet og rapporterer til ledelsen. Tiden er fastlagt i en månedlig ramme, og større opgaver aftales for sig.
Fælles er også, at personen arbejder for flere virksomheder. Det giver bred erfaring med, hvad der virker i praksis, og hvordan forskellige leverandører håndterer sikkerhed. Til gengæld skal ledelsen vide, hvor hurtigt personen kan være til stede, når der sker noget, og hvordan fortrolige oplysninger holdes adskilt mellem kunderne.
Hos Nielco IT hedder rollen Cyber Security Advisor og omfatter netop det løbende ansvar for sikkerheden på tværs af leverandørerne. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvor de i praksis glider fra hinanden
Forskellene opstår i tre områder, og de er sjældent synlige i navnet.
- Mandat · én udbyder får lov til at stille krav til leverandørerne og indstille til bestyrelsen. En anden svarer kun, når nogen spørger. Begge kan kalde sig vCISO.
- Omfang · nogle aftaler dækker hele sikkerhedsprogrammet, fra risikovurdering over politikker til beredskab og rapportering. Andre dækker én opgave, fx svar på kundekrav eller en årlig gennemgang.
- Binding · en vCISO kan være ansat hos en leverandør, der også sælger overvågning, firewalls eller drift. Så risikerer anbefalingerne at pege mod leverandørens egne ydelser. Hvordan I spørger ind til det, står i Uvildig IT-rådgivning.
Et eksempel. Softwarehuset med fem udviklere har en kunde, der kræver dokumentation svarende til ISO/IEC 27001. Softwarehuset har brug for en person, der kan bygge et ledelsessystem op og holde det i live. En cyber security advisor, der kun svarer på spørgeskemaer, løser ikke den opgave, selv om titlen lyder rigtig.
Spørgsmål, der afslører indholdet
Stil de samme spørgsmål til alle udbydere, uanset hvad de kalder rollen.
- Hvilke beslutninger må I træffe, og hvilke skal forelægges os?
- Hvad indeholder den første gennemgang, og hvad får vi skriftligt ud af den?
- Hvor mange timer om måneden ligger der i aftalen, og hvad sker der ved en hændelse uden for den tid?
- Hvem dækker, når I er syge eller på ferie?
- Har I aftaler, provision eller ejerskab hos leverandører, som I kan komme til at vurdere?
- Hvem ejer dokumentationen, når samarbejdet slutter?
Svarene viser, om der er tale om ledelse med ansvar eller om rådgivning efter behov. Begge kan være rigtige, når de bliver købt med åbne øjne og til den opgave, virksomheden faktisk har. Bed gerne om et eksempel på en rapport til ledelsen, hvor navne og detaljer er fjernet, så I kan se niveauet.
Titlen og NIS2-loven
Ingen af betegnelserne er beskyttede eller defineret i lovgivningen. NIS2-loven lægger ansvaret for at godkende sikkerhedsforanstaltningerne og føre tilsyn med dem hos enhedens ledelsesorgan (§ 7) og stiller ikke krav om en CISO eller en bestemt titel. En ekstern sikkerhedsleder kan forberede beslutningerne og følge op, men godkendelsen bliver i ledelsen. Det samme gælder for virksomheder, der ikke selv er omfattet, men som leverer til en, der er. Her kommer kravene typisk gennem kundens kontrakt, og det er kontrakten, der afgør, hvad der skal dokumenteres. Gengivelsen af loven er forenklet og kan ikke erstatte juridisk rådgivning.
Det skal I lade være med
Disse fejl hænger ofte sammen med, at navnet får lov at erstatte aftalen.
- At vælge efter titel · sammenlign udbydernes beskrivelse af opgaver og mandat.
- At købe et værktøj forklædt som rolle · en platform med automatiske rapporter kan være nyttig, men den leder ikke sikkerhedsarbejdet.
- At lade aftalen være mundtlig · få indholdet skrevet ned, inden arbejdet starter. Se Aftalen om ekstern IT-ledelse.
- At glemme bestyrelsen · rollen er kun halvt udnyttet, hvis rapporteringen stopper hos direktøren.
Det skal I kræve af den eksterne
Uanset betegnelse bør disse punkter stå i aftalen.
- ☐ En beskrivelse af mandat, opgaver og timeramme.
- ☐ En første gennemgang med en skriftlig, prioriteret liste over risici.
- ☐ Oplysning om alle bindinger til leverandører.
- ☐ Fast rapportering til direktion og, når det er relevant, til bestyrelsen.
- ☐ En plan for fravær og for afslutning, så dokumentationen bliver hos jer.
Næste skridt er at skrive jeres egen definition af rollen på en halv side. Brug den, når I taler med udbydere, så I sammenligner indhold frem for navne. Beskriv i den, hvilke beslutninger rollen skal tage, hvem den rapporterer til, og hvilke tre opgaver der er vigtigst det første år. Flere betegnelser findes i ordlisten, og samlet under CISO, vCISO og cyber security advisor.
Kilder
- Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS2-loven): § 7 om ledelsesorganets godkendelse og tilsyn.
- ISO/IEC 27001 hos ISO: udstederens side om standarden, nævnt i eksemplet med softwarehuset.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en CISO? · Modellerne forklaret
→ Kontakt · Tlf. 70 13 63 23 · Cyber Security Advisor hos Nielco IT
