Hvem i ledelsen skal eje sikkerhedstesten?

En sikkerhedstest, der kun ejes af IT, risikerer at ende som en teknisk opgave med en teknisk rapport, som ledelsen aldrig rigtig tager stilling til. Svaret på, hvem der skal eje den, hviler på et enkelt princip: ejeren skal være en person i ledelsen, som har mandat til at prioritere, kan afsætte ressourcer og står til regnskab for, at resultatet bliver brugt. Hvem det konkret er, afhænger af virksomhedens størrelse og opbygning, men det skal være én navngiven person.

IT kan sagtens stå for bestillingen, kontakten til testeren og det praktiske. Det er en vigtig rolle. Men bestilleren og ejeren er ikke det samme. Bestilleren sørger for, at testen bliver gennemført. Ejeren sørger for, at den giver mening for forretningen, og at der sker noget bagefter.

Hvorfor testen har brug for en ejer i ledelsen

En sikkerhedstest rejser spørgsmål, som IT ikke kan besvare alene. Hvad skal testen undersøge, når pengene kun rækker til en del? Hvad skal der ske med et alvorligt fund, der kræver penge, som ikke er budgetteret? Skal en rettelse, der forstyrrer forretningen, gennemføres nu eller vente? Hvem skal have at vide, hvad testen viste?

Det er ledelsesspørgsmål. Hvis ingen i ledelsen ejer testen, bliver de enten ikke stillet, eller de bliver besvaret af IT uden mandat. Begge dele er uheldigt. → Hvorfor beslutningen hører hjemme i ledelsen

Den britiske myndighed NCSC anbefaler i sin vejledning om ledelse af cyberrisici, at der aftales et ejerskab på ledelsesniveau for cyberrisici, og at roller og ansvar er klart defineret både i direktionen og i bestyrelsen. Vejledningen er britisk og frivillig, men pointen gælder også her: et ansvar, der er fordelt på mange, er i praksis ingens.

Et tænkt forløb uden ejer

En transportvirksomhed får sin første sikkerhedstest, fordi en stor kunde har bedt om det. IT-chefen bestiller testen, aftaler omfanget med testeren og modtager rapporten. Rapporten har to alvorlige fund i det system, chaufførerne bruger til at registrere leverancer. Rettelserne kræver en ny udgave fra leverandøren, og det koster penge, der ikke står i budgettet.

IT-chefen sender rapporten til direktøren med en kort mail. Direktøren har travlt med en forhandling og læser den ikke grundigt. Kunden får at vide, at testen er gennemført. Et halvt år senere spørger kunden, om fundene er rettet, og ingen kan svare præcist, fordi ingen havde taget beslutningen om budgettet.

Ingen gjorde noget forkert i forløbet. Det, der manglede, var en person i ledelsen, som havde ansvaret for at tage stilling til fundene, finde pengene og give kunden et svar, der holdt.

Hvad ejerskabet indebærer

At eje sikkerhedstesten betyder ikke at forstå teknikken. Det betyder at have ansvaret for de beslutninger, testen kræver, og for at følge op.

Formål · sikre, at testen svarer på et spørgsmål, ledelsen har brug for at få besvaret.
Ressourcer · sørge for, at der er afsat tid og penge til både test og rettelser.
Beslutninger · tage stilling til fund, der kræver prioritering eller accept af en risiko.
Opfølgning · holde øje med, at rettelserne bliver gennemført, og tage det op, hvis de går i stå.
Rapportering · sørge for, at direktionen og bestyrelsen får et svar, de kan bruge.

Ejeren behøver ikke gøre det hele selv. Men ejeren skal vide, hvem der gør hvad, og være den, der svarer, når nogen spørger, hvordan det går. → Hvem i ledelsen følger op på testen?

Hvem er bedst placeret?

Der er ikke ét rigtigt svar. Det afhænger af, hvordan ledelsen er sammensat, og hvor IT hører hjemme i organisationen.

Den administrerende direktør · naturligt i mindre virksomheder og i ejerledede virksomheder, hvor beslutningerne alligevel samles der. → Direktøren er også IT-ansvarlig
Økonomidirektøren · kan være en god løsning, hvor IT hører under økonomi, og hvor risikostyring og budget i forvejen ligger. → Økonomidirektøren og sikkerhedstesten
En driftsdirektør eller COO · relevant, hvor de vigtigste systemer understøtter produktion eller logistik.
En IT-direktør i direktionen · muligt, hvis IT-direktøren har plads i direktionen og mandat på linje med de øvrige.

Det afgørende er, at personen har mandat til at træffe beslutninger og adgang til de fora, hvor ressourcer fordeles. En ejer uden mandat bliver en ny bestiller. Vælg også en person, der har tid til at tage opgaven alvorligt. En ejer, der i forvejen har alt for mange ansvarsområder, vil let skubbe testen til side, når andre sager presser sig på, og så er ejerskabet kun et navn på papiret.

Bestyrelsens rolle er en anden

Bestyrelsen ejer ikke den enkelte test. Bestyrelsens opgave er at føre tilsyn med, at direktionen håndterer sikkerheden forsvarligt, og at der er en ejer. Bestyrelsen kan spørge, om testen er gennemført, hvad den viste, og hvad der er gjort ved resultatet, men det er direktionen, der skal handle. → Roller i direktion og bestyrelse

For virksomheder, der er omfattet af NIS2, stiller reglerne særlige krav til ledelsens ansvar for cybersikkerhed. Det er et selvstændigt emne, som ikke afgøres af, hvem der ejer en enkelt test. → NIS2 og ledelsen

Når ejeren skifter eller forsvinder

Ejerskabet hænger på en person, og personer skifter job, går på orlov eller får nye opgaver. Hvis ejerskabet ikke er skrevet ned, kan det forsvinde med personen, og testen bliver igen en opgave, IT står alene med.

Skriv derfor ejerskabet ind i et referat eller en beskrivelse af ledelsens ansvarsfordeling, og aftal, hvem der overtager, hvis ejeren ikke er der. Når én person har mange roller, som i nogle mindre virksomheder, er det særlig vigtigt. → Nøglepersonsrisiko

Det skal I lade være med

At lade bestilleren i IT være den eneste ejer · så bliver ledelsesspørgsmålene ikke stillet.
At fordele ejerskabet på flere · et delt ansvar bliver let ingens.
At vælge en ejer uden mandat · ejeren skal kunne prioritere og afsætte ressourcer.
At lade bestyrelsen eje testen · bestyrelsen fører tilsyn, direktionen handler.
At glemme at skrive ejerskabet ned · det forsvinder, når personen skifter.

Hvad kan og ikke kan konkluderes

En navngiven ejer i ledelsen gør det mere sandsynligt, at testen får et formål, at fundene bliver prioriteret, og at nogen følger op. Det er ingen garanti for, at alt bliver rettet, og ejeren kan ikke tage ansvaret fra resten af ledelsen. Sikkerheden er fortsat hele ledelsens anliggende. Ejerskabet sikrer, at nogen holder fast i det.

Tjekliste: har testen en ejer?

☐ Er der en navngiven ejer af sikkerhedstesten i ledelsen?
☐ Har ejeren mandat til at prioritere og afsætte ressourcer?
☐ Er rollerne mellem ejer og bestiller i IT aftalt?
☐ Ved bestyrelsen, hvem ejeren er?
☐ Er ejerskabet skrevet ned, og er der en stedfortræder?

Kilder

NCSC og UK Government, Cyber Governance Code of Practice: princip A og E om ejerskab af cyberrisici på ledelsesniveau og klart definerede roller i direktion og bestyrelse.

Senest gennemgået: oktober 2026.