Opfølgning uden en IT‑chef: hvem tager over?

I en virksomhed uden IT-chef kan rapporten fra sikkerhedstesten lande hos direktøren, der kan fristes til at sende den videre til IT-leverandøren med en bøn om at få det ordnet. Det er en forståelig reaktion, men den efterlader et hul: ingen i virksomheden vurderer, om det, leverandøren gør, er nok. Svaret på, hvem der tager over, hviler på en arbejdsdeling. Leverandøren udfører rettelserne, ledelsen ejer prioriteringen og kontrollen, og en tredje part kan hjælpe ledelsen med at forstå det tekniske. Hvordan en virksomhed uden IT-afdeling bestiller selve testen, er beskrevet på penetrationtest.dk.

Hullet, en IT-chef normalt fylder

En IT-chef løser tre opgaver i opfølgningen, som let bliver overset. Den første er at oversætte fundene til noget, ledelsen kan beslutte ud fra. Den anden er at stille krav til leverandøren og vurdere svarene. Den tredje er at holde fast i sagen måned efter måned, når den daglige drift trækker i en anden retning.

Uden en IT-chef forsvinder de tre opgaver ikke. De bliver bare ikke løst, medmindre nogen får dem. Det er ledelsens beslutning, hvem det skal være. Det britiske NCSC skriver i sin vejledning til små og mellemstore virksomheder, at ansvaret for cybersikkerhed ikke bør ligge hos én enkelt person. Det gælder også, når den ene person er direktøren.

Leverandøren udfører, men vurderer ikke sig selv

Driftsleverandøren kender systemerne og er den naturlige til at rette fundene. Det er naturligt. Men leverandøren kan ikke være den eneste, der siger, om rettelserne er tilstrækkelige, og om prioriteringen er rigtig. Nogle fund kan skyldes leverandørens egne valg, og nogle rettelser kan koste ekstra. Begge dele giver leverandøren en interesse, der ikke altid falder sammen med virksomhedens. → Spørgsmål til IT-leverandøren

Ledelsen kan bede leverandøren om tre ting skriftligt for hvert alvorligt fund: hvad der bliver gjort, hvornår det er færdigt, og hvordan det kan efterprøves. Med de tre svar har ledelsen noget at følge op på, også uden teknisk baggrund. → Hvilke svar ledelsen kan kræve af leverandøren

Ledelsens del af opgaven

Ledelsens rolle er ikke at forstå hvert fund, men at træffe de beslutninger, der hører ledelsen til. Det er de samme beslutninger, en IT-chef ville have lagt frem.

Prioritering · hvilke fund skal rettes først, set ud fra hvad virksomheden ikke kan undvære.
Penge · hvilke rettelser kræver ekstra betaling, og hvad bliver valgt fra.
Accept · hvilke fund lever virksomheden bevidst med, og hvem har besluttet det.
Kontrol · hvornår bliver rettelserne efterprøvet, og af hvem.

Udpeg én person i ledelsen, der har opgaven, og en stedfortræder. I en mindre virksomhed kan det være direktøren selv, økonomiansvarlig eller en driftschef. Det vigtige er, at personen har mandat til at sige ja og nej til leverandøren. → Direktøren er også IT-ansvarlig

Hjælp til at forstå det tekniske

Ledelsen behøver ikke stå alene med fundene. Der er flere muligheder for at få en uafhængig oversættelse, og de kan kombineres.

Testeren kan gennemgå resultatet med ledelsen og leverandøren samlet. Det giver et fælles billede og mindsker risikoen for, at fund bliver forstået forskelligt. En ekstern rådgiver, der ikke er knyttet til driftsleverandøren, kan læse leverandørens plan og svar og sige, om de hænger sammen med rapporten. Et bestyrelsesmedlem med IT-erfaring kan være sparringspartner for direktøren, men bør ikke overtage den daglige opfølgning. Om de muligheder giver mening, afhænger af resultatet, virksomhedens størrelse og budget. → Et uafhængigt blik på IT

Hvis der er flere leverandører, for eksempel én til driften og én til forretningssystemet, kan fund falde mellem to stole. Så er det ledelsen, der må samle dem om bordet og fordele opgaverne. → Når leverandører peger på hinanden

Et samlet overblik, som ikke ligger hos leverandøren

Uden en IT-chef er der ingen, der naturligt holder styr på papirerne. Rapporten ligger i en mail, leverandørens plan i en anden, og beslutningerne om, hvad der skal vente, står måske kun i et referat. Det går, indtil der skal svares på et spørgeskema fra en kunde, eller leverandøren skiftes ud.

Saml derfor opfølgningen ét sted, som virksomheden selv ejer og har adgang til. Det kan være et enkelt dokument eller regneark med fundene, den ansvarlige hos leverandøren, fristen, status og ledelsens beslutninger. Det skal ikke være teknisk. Det skal kunne læses af en ny direktør, en revisor eller en ny leverandør uden forklaring.

Overblikket gør det også lettere at give bestyrelsen eller ejerkredsen besked. En kort status på de alvorlige fund ved hvert bestyrelsesmøde er nok til, at sagen ikke forsvinder. Og når leverandøraftalen skal genforhandles, viser overblikket, hvilke opgaver der i praksis har ligget hos leverandøren, og hvilke der bør skrives ind i aftalen. → Hvem i ledelsen skal eje sikkerhedstesten?

Et tænkt eksempel

En tandklinik med tolv ansatte har fået testet sit netværk, sit journalsystem og adgangen hjemmefra. Klinikken har ingen IT-medarbejdere; driften ligger hos en lokal IT-leverandør, mens journalsystemet leveres af en anden.

Klinikkens ejer beslutter at være ansvarlig for opfølgningen og udpeger klinikchefen som stedfortræder. Testeren gennemgår rapporten på et møde med ejeren og begge leverandører. Driftsleverandøren sender bagefter en plan med frister for de alvorlige fund. To af rettelserne kræver ekstra betaling, og ejeren godkender den ene og beslutter at vente med den anden, som står noteret med begrundelse. Status er fast punkt på klinikkens månedlige ledermøde. Da de alvorlige fund er rettet, beder ejeren testeren om at efterprøve dem, før sagen lukkes.

Det skal I lade være med

At sende rapporten videre og betragte sagen som afleveret · leverandøren udfører, ledelsen ejer.
At lade leverandøren vurdere sine egne rettelser · efterprøvning bør ske uafhængigt.
At lægge hele opgaven på én person · udpeg en stedfortræder.
At acceptere fund uden at skrive beslutningen ned · en accept skal kunne genfindes.
At lade et bestyrelsesmedlem blive den skjulte IT-chef · sparring er ikke det samme som drift.

Hvad kan og ikke kan konkluderes

En klar arbejdsdeling mellem ledelse, leverandør og en uafhængig part gør det muligt at følge op på en sikkerhedstest uden en IT-chef. Den gør ikke ledelsen til eksperter, og den fjerner ikke afhængigheden af leverandøren. Den sikrer, at nogen i virksomheden stiller spørgsmålene og træffer beslutningerne. → Hvordan ved ledelsen, at fundene bliver rettet?

Tjekliste til opfølgningen

☐ Er der en ansvarlig i ledelsen og en stedfortræder?
☐ Har leverandøren givet skriftlige svar på hvert alvorligt fund?
☐ Er det besluttet, hvem der hjælper ledelsen med at vurdere svarene?
☐ Er accepterede fund skrevet ned med begrundelse?
☐ Er det aftalt, hvem der efterprøver rettelserne?

Kilder

NCSC, Small Business Guide: vejledning til små og mellemstore organisationer; anbefaler ikke at lade ansvaret for cybersikkerhed ligge hos én enkelt person.

Senest gennemgået: oktober 2026.