Hvem i ledelsen følger op på testen?

Når rapporten er afleveret, skifter sikkerhedstesten karakter fra et projekt med en leverandør til et internt arbejde, som ingen udefra holder øje med. Det er her, opfølgningen kan gå i stå. Svaret på, hvem der skal følge op, hviler på tre elementer, som ledelsen skal fastlægge: en navngiven person i ledelsen, der står til ansvar for fremdriften, et fast sted, hvor status bliver behandlet, og en aftale om, hvordan bestyrelsen eller ejeren får besked. Den, der retter fundene, bør ikke være den eneste, der følger op på dem.

Hvorfor opfølgningen har brug for sin egen ansvarlige

Under testen er der en naturlig drivkraft. Testeren har en tidsplan, der er møder, og der kommer en rapport. Bagefter forsvinder den drivkraft. Rettelserne skal konkurrere med driften, med nye projekter og med alt det andet, IT også skal levere. Uden en person i ledelsen, der spørger til dem, vil de let blive skubbet.

En pjece fra sikkerdigital.dk om topledelsens ansvar for risikostyring siger det kort: topledelsen skal godkende væsentlige risikovurderinger og sikre, at der bliver fulgt op på dem, for eksempel på møder i et sikkerhedsudvalg. Pjecen understreger også, at risikostyring ikke er en engangsopgave, men kræver en løbende indsats. → Fra engangstest til fast praksis

Den, der retter, og den, der følger op

I en mindre virksomhed kan det være fristende at lade IT-chefen eller driftsleverandøren stå for det hele: rette fundene og rapportere om, hvordan det går. Det giver et problem. Den, der skal rette, har en naturlig interesse i, at status ser god ud, og har ikke nødvendigvis mandat til at flytte ressourcer, når rettelserne kolliderer med andre opgaver.

Del derfor rollerne:

Den udførende · IT-chefen, IT-medarbejdere eller leverandøren, der gennemfører rettelserne.
Den opfølgende · en person i direktionen, der kender planen, spørger til fremdriften og kan træffe beslutninger, når noget går i stå.
Den, der fører tilsyn · bestyrelsen eller ejeren, der får en samlet tilbagemelding og vurderer, om planen bliver gennemført.

Den opfølgende kan være den samme, som ejede testen fra starten. Det kan være en fordel, fordi personen kender formålet og de beslutninger, der blev truffet undervejs. → Hvem i ledelsen skal eje sikkerhedstesten?

Hvis direktøren selv er IT-ansvarlig, falder rollerne sammen. Så bliver bestyrelsens tilsyn eller et uafhængigt blik udefra vigtigere. → Direktøren er også IT-ansvarlig

Et fast mødepunkt

Opfølgning, der kun sker, når nogen husker det, er ikke opfølgning. Sæt status på rettelserne på et fast møde, hvor den ansvarlige allerede deltager. Så kræver opfølgningen ikke et nyt møde, og den bliver en del af ledelsens almindelige arbejde. Det kan være direktionens egne møder, et ledermøde eller et særskilt sikkerhedsudvalg, hvis virksomheden har et.

Formatet bør være kort og ens fra gang til gang: hvad er rettet, hvad er forsinket, hvad kræver en beslutning. Selve handlingsplanen med opgaver, ejere og frister er beskrevet på penetrationtest.dk. Hyppigheden afhænger af, hvor alvorligt resultatet var, og hvor hurtigt ledelsen har besluttet, at det skal håndteres. Der er ingen fast regel, men punktet bør ikke forsvinde, før de alvorlige fund er lukket. → Sikkerhed som punkt på direktionsmødet

Tilbagemeldingen til bestyrelsen eller ejeren

Den opfølgende i direktionen er også den, der giver bestyrelsen eller ejeren besked. Aftal på forhånd, hvornår det sker, og hvad tilbagemeldingen skal indeholde. En tilbagemelding, der kun kommer, når alt er i orden, giver bestyrelsen et skævt billede. En kort tilbagemelding kan bestå af:

Fremdrift · hvilke alvorlige fund er rettet og efterprøvet siden sidst.
Afvigelser · hvad er forsinket, og hvad er årsagen.
Beslutninger · hvad direktionen har besluttet, og hvad bestyrelsen skal tage stilling til.

For virksomheder, der behandler personoplysninger, er der også en formel side. Databeskyttelsesforordningens artikel 32, stk. 1, litra d, nævner blandt de foranstaltninger, der kan være relevante, en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger. Opfølgningen på en sikkerhedstest kan være en del af den procedure, men den er ikke i sig selv opfyldelse af kravet. Teksten er ikke juridisk rådgivning. → GDPR og sikkerhedstest

Når den ansvarlige ikke er der

Opfølgning, der hænger på én person, er sårbar. Ferie, sygdom, nye opgaver eller et jobskifte kan få den til at gå i stå, uden at nogen opdager det. Udpeg derfor en stedfortræder, der kender planen og kan tage over, og læg planen et sted, hvor andre i ledelsen kan finde den.

Skifter den ansvarlige stilling, bør overdragelsen være et punkt på direktionens møde og ikke en mail. Den nye ansvarlige skal kende de åbne fund, de beslutninger, der er truffet, og de aftaler, der er indgået med leverandører. → Nøglepersoner skifter job

Et tænkt eksempel

Et vikarbureau har fået testet sin portal, hvor vikarer og kunder registrerer timer. Driftschefen ejede testen, og IT-leverandøren skal rette de fem vigtigste fund.

Direktionen beslutter, at driftschefen fortsætter som ansvarlig for opfølgningen, og at status står som fast punkt på direktionens møder, indtil de fem fund er lukket. Leverandøren sender en kort status før hvert møde. Efter to møder viser det sig, at ét fund kræver en ændring i portalen, som leverandøren vil have betaling for. Driftschefen tager det op på mødet, direktionen godkender udgiften, og bestyrelsen får besked i den næste kvartalsrapport sammen med status på de øvrige fund. Da det sidste fund er rettet, beder driftschefen testeren om at efterprøve de fem rettelser, før punktet tages af dagsordenen. Først derefter meldes opfølgningen afsluttet til bestyrelsen.

Det skal I lade være med

At lade opfølgningen ligge hos den, der retter · den udførende og den opfølgende bør være forskellige.
At følge op, når nogen husker det · sæt status på et fast møde.
At vælge en ansvarlig uden mandat · den opfølgende skal kunne træffe beslutninger.
At give bestyrelsen besked kun ved gode nyheder · aftal tilbagemeldingen på forhånd.
At lukke punktet, før de alvorlige fund er håndteret · forsinkelser skal frem.

Hvad kan og ikke kan konkluderes

En klar ansvarlig, et fast mødepunkt og en aftalt tilbagemelding gør det mere sandsynligt, at fundene faktisk bliver håndteret, og at ledelsen opdager det, hvis de ikke gør. Det sikrer ikke, at rettelserne virker. Det kræver en efterprøvning, og det er en del af den opfølgning, den ansvarlige skal sørge for.

Tjekliste til opfølgningen

☐ Er der en navngiven ansvarlig for opfølgningen i ledelsen?
☐ Er den udførende og den opfølgende forskellige personer?
☐ Står status som fast punkt på et møde, den ansvarlige deltager i?
☐ Er det aftalt, hvornår og hvordan bestyrelsen eller ejeren får besked?
☐ Er det besluttet, hvem der efterprøver de alvorlige rettelser?

Kilder

sikkerdigital.dk, Informationssikkerhed og risikostyring: toplederens ansvar (2025): topledelsen skal godkende væsentlige risikovurderinger og sikre opfølgning, og risikostyring er ikke en engangsopgave.
Databeskyttelsesforordningen (EU) 2016/679: artikel 32, stk. 1, litra d, om en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af foranstaltningerne.

Senest gennemgået: oktober 2026.