Kan en virksomhed løse sine NIS2-forpligtelser ved at hyre en ekstern sikkerhedsansvarlig? Det spørgsmål hører jeg jævnligt fra direktører og bestyrelser. En ekstern CISO kan løfte en stor del af arbejdet. Ansvaret bliver liggende hos ledelsen. Det er værd at forstå, hvor grænsen går, før I skriver kontrakt med nogen.
Hvad loven lægger på ledelsen
NIS2 er gennemført i Danmark med lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, også kaldet NIS 2-loven. Den trådte i kraft den 1. juli 2025. Nogle sektorer, blandt andet energi, tele og finans, har egne regler, så start med at finde ud af, hvilken lov jeres virksomhed hører under.
Lovens § 6 kræver, at væsentlige og vigtige enheder træffer passende tekniske, operationelle og organisatoriske foranstaltninger til at styre risiciene. Paragraffen nævner ti områder, der som minimum skal være dækket, fra risikoanalyse og hændelseshåndtering til backup, forsyningskædesikkerhed og adgangskontrol.
§ 7 lægger tre opgaver direkte hos ledelsesorganet:
- Ledelsesorganet skal godkende foranstaltningerne.
- Ledelsesorganet fører tilsyn med, at de bliver gennemført.
- Medlemmerne skal selv deltage i relevante kurser om styring af cybersikkerhedsrisici.
Hvem ledelsesorganet er, står i § 3, nr. 20. I et selskab med både direktion og bestyrelse er det bestyrelsen. I et selskab, der kun har en direktion, er det direktionen.
For væsentlige enheder giver § 23 desuden tilsynsmyndigheden mulighed for i sidste ende midlertidigt at forbyde en person med ledelsesansvar på direktørniveau at udøve ledelsesfunktioner i enheden. Det kan først ske, når tidligere håndhævelse har vist sig utilstrækkelig, og en frist fra myndigheden er overskredet.
Det, en ekstern CISO ikke kan overtage
Godkendelsen og tilsynet er ledelsens egne pligter. De kan ikke lægges over på en ansat, en leverandør eller en ekstern rådgiver. Kurserne skal ledelsens medlemmer også selv tage.
En ekstern CISO bør derfor aldrig være den, der godkender sikkerhedsforanstaltningerne. Beslutningen skal træffes af ledelsen og fremgå af ledelsens egne referater.
Jeg kan heller ikke love jer, hvordan et tilsyn falder ud. Det kan ingen rådgiver.
Det, en ekstern CISO kan gøre
Til gengæld er der meget arbejde, som ledelsen hverken har tid eller forudsætninger for at udføre selv. Her gør en ekstern sikkerhedsansvarlig en forskel:
- Afklaring af, om og hvordan loven gælder for jer, og hvilken myndighed der fører tilsyn.
- En gennemgang af, hvor jeres nuværende sikkerhed står i forhold til de ti minimumsområder i § 6.
- Et beslutningsgrundlag, som ledelsen kan godkende: prioriterede foranstaltninger med en forklaring på, hvorfor de er valgt.
- Opfølgning hos jeres IT-leverandører, så de foranstaltninger, ledelsen har godkendt, faktisk bliver gennemført.
- Skriftlig status til ledelsen med faste mellemrum, så tilsynet kan dokumenteres.
- Øvelser i beredskabsplanen, så ledelsen ved, hvad der forventes af den, når en hændelse skal anmeldes.
Rådgiveren forbereder altså beslutningerne og følger op på dem bagefter.
Sådan bør samarbejdet se ud på papiret
Vælger I en ekstern CISO, skal rollefordelingen skrives ned. Jeg anbefaler tre ting:
- Et fast punkt på dagsordenen for bestyrelsen eller direktionen, hvor rådgiverens skriftlige status behandles. Referatet skal vise, hvad ledelsen har besluttet.
- En klar beskrivelse af, at rådgiveren indstiller, og at ledelsen godkender og fører tilsyn.
- En plan for ledelsens egne kurser, med dato og indhold, så det kan dokumenteres, at kravet i § 7, stk. 2, er opfyldt.
Det giver ledelsen et spor, den kan vise frem, og det gør rådgiverens arbejde mere effektivt, fordi beslutningerne bliver truffet hurtigere.
Hvor I kan starte
Er I usikre på, hvor langt I er, er en NIS2-audit et godt første skridt. Den viser, hvad der mangler, og hvad ledelsen skal tage stilling til først. Ønsker I derefter en fast sparringspartner, kan rollen som Cyber Security Advisor dække den løbende opfølgning.
Min rådgivning er uvildig og uafhængig. Nielco IT har ikke indgået forhandleraftaler med leverandører, og anbefalingerne bygger kun på det, der virker for jeres virksomhed.
Kan jeres ledelse i dag vise et referat, hvor den har godkendt jeres sikkerhedsforanstaltninger?
Vil I have hjælp til at forberede ledelsens NIS2-arbejde? Ring til mig på 70 13 63 23, eller send en besked via formularen.
