Organisationsændringer: hvornår skal opfølgningen tages op igen?

En plan for opfølgning på en sikkerhedstest bygger på, hvordan virksomheden så ud, da planen blev lagt: hvem der havde ansvaret, hvilke leverandører der drev systemerne, og hvilke afdelinger der brugte dem. Når organisationen ændrer sig, kan planen stå uændret på papiret, mens grundlaget under den er væk. Svaret på, hvornår opfølgningen skal tages op igen, hviler på en enkel regel: når en ændring flytter ansvar, adgang eller systemer, skal ledelsen se på planen igen. Det gælder ikke kun store omlægninger, men også de mindre, der sker i det stille.

Hvorfor planen ikke følger med af sig selv

En opfølgningsplan er knyttet til navne, roller og aftaler. Den forudsætter, at bestemte personer har bestemte opgaver, og at bestemte leverandører har ansvaret for bestemte systemer. Ingen af de forudsætninger bliver opdateret automatisk, når en afdeling bliver lagt sammen med en anden, eller når en leder får nye opgaver.

Det amerikanske NIST beskriver i sit rammeværk for cybersikkerhed, CSF 2.0, to forhold, der rammer netop her. Roller, ansvar og beføjelser for styring af cybersikkerhedsrisici skal være fastlagt, kommunikeret, forstået og håndhævet. Og ændringer skal håndteres, vurderes for deres betydning for risikoen, registreres og følges. En organisationsændring er en ændring i den forstand, også når ingen systemer bliver rørt. → Hvad bør sikkerhedspolitikken sige om test?

Ændringer, der bør få planen frem igen

Ikke alle ændringer kræver en ny gennemgang. Men nogle bør altid få ledelsen til at åbne planen:

Nye ledere · den, der ejede testen eller opfølgningen, får nye opgaver eller forlader virksomheden.
Sammenlægninger og opdelinger · afdelinger bliver slået sammen eller delt, og systemer skifter ejer.
Nye eller skiftede leverandører · driften flytter, eller et system bliver lagt ud til en ny leverandør.
Hjemtagning af opgaver · noget, leverandøren gjorde, skal nu løses internt.
Nye forretningsområder · en ny afdeling eller et nyt salgsled tager systemer i brug, som ikke var med i testen.
Nedskæringer · færre folk skal løse de samme opgaver, og rettelser risikerer at blive udskudt i stilhed.

Fælles for dem er, at de kan ændre, hvem der har ansvaret for et åbent fund, eller om testens resultat stadig dækker det, virksomheden bruger. → Nøglepersoner skifter job

Det, ledelsen skal gennemgå

Når en ændring er besluttet, kan en kort gennemgang af opfølgningen være nok. Den kan bestå af fire spørgsmål, som den ansvarlige i ledelsen besvarer skriftligt:

Hvem ejer de åbne fund nu? Er der fund, hvor ejeren ikke længere har ansvaret for systemet, eller ikke er ansat?
Hvem følger op? Har den, der fulgte op, stadig tid og mandat, eller skal opgaven flyttes?
Gælder aftalerne stadig? Er rettelser lovet af en leverandør, som ikke længere har opgaven?
Dækker testen stadig? Er der kommet systemer, adgange eller afdelinger til, som testen ikke så?

Svarene kan føre til, at planen bare bliver opdateret med nye navne. De kan også vise, at et område ikke længere er dækket af nogen test, og så hører det hjemme i næste bestilling. → Næste bestilling

Skift af leverandør er et særligt tilfælde

Når driften flytter fra én leverandør til en anden, er der en reel risiko for, at åbne fund bliver tabt i overdragelsen. Den gamle leverandør har ikke længere en interesse i at rette dem, og den nye kender dem ikke. Ledelsen bør derfor sørge for, at listen over åbne fund indgår i overdragelsen, og at den nye leverandør bekræfter skriftligt, hvilke fund den overtager, og hvornår de forventes løst.

Overvej også, om skiftet i sig selv ændrer billedet. En ny leverandør kan have andre løsninger og andre måder at give adgang på. Det kan være en grund til at lade en del af systemerne teste igen, når den nye drift er på plads. → Leverandørrisiko: når sikkerheden ligger i andres hænder

Byg spørgsmålet ind i beslutningerne

Den sikreste måde at fange ændringerne på er ikke at huske dem, men at gøre spørgsmålet til en fast del af de beslutninger, der skaber dem. Når direktionen eller bestyrelsen får et oplæg om en ny afdeling, en sammenlægning eller et leverandørskifte, kan oplægget indeholde et kort punkt: hvad betyder ændringen for ansvaret for IT-sikkerheden og for de åbne fund fra seneste test?

Punktet behøver ikke et langt svar. Det er nok, at nogen har tænkt over det, før beslutningen træffes. Ændringer, som ikke kommer forbi ledelsen, for eksempel når en medarbejder skifter afdeling eller får nye adgange, kan fanges ved, at HR eller økonomi giver den ansvarlige for opfølgningen besked. Den slags små ændringer kan over tid give huller i en plan, netop fordi ingen enkelt af dem ser vigtig ud, når den sker. → Hvem i ledelsen følger op på testen?

Et tænkt eksempel

En fødevaregrossist har to lagre med hver sin lagerchef. Sikkerhedstesten for et halvt år siden fandt blandt andet svage adgange til lagerstyringen på det ene lager, og lagerchefen dér fik ansvaret for at følge op sammen med driftsleverandøren.

Nu bliver de to lagre lagt sammen under én chef, og den tidligere lagerchef får en ny rolle i indkøb. Samtidig skal lagerstyringen flyttes til en ny leverandør. Direktøren sætter opfølgningsplanen på dagsordenen for det møde, hvor sammenlægningen besluttes. Den nye lagerchef overtager de åbne fund, den tidligere lagerchef laver en kort overdragelse, og den nye leverandør bekræfter, hvilke fund den overtager. Direktionen beslutter også, at lagerstyringen skal med i næste test, når flytningen er gennemført.

Det skal I lade være med

At lade planen stå med navne på folk, der har fået andre opgaver · ejerskab følger rollen, ikke personen.
At glemme åbne fund ved et leverandørskifte · listen skal med i overdragelsen.
At antage, at testen dækker en ny organisation · nye systemer og adgange var ikke med.
At vente til næste test med at opdage ændringen · tag planen op, når ændringen besluttes.
At udskyde rettelser i stilhed ved nedskæringer · en udsættelse skal være en beslutning.

Hvad kan og ikke kan konkluderes

En gennemgang af opfølgningen ved organisationsændringer mindsker risikoen for, at åbne fund og ansvar forsvinder mellem to stole. Den siger ikke noget om, hvorvidt de nye systemer eller leverandører er sikre. Det kræver en vurdering og eventuelt en ny test. → Testresultatet i risikovurderingen året efter

Tjekliste ved organisationsændringer

☐ Er det vurderet, om ændringen flytter ansvar, adgang eller systemer?
☐ Har alle åbne fund en ejer, der stadig har ansvaret?
☐ Er opfølgningen placeret hos en person med tid og mandat?
☐ Indgår åbne fund i overdragelsen ved et leverandørskifte?
☐ Er nye systemer eller afdelinger noteret til næste test?

Kilder

CSF 2.0, The Cybersecurity Framework: GV.RR-02 om fastlagte og kommunikerede roller, ansvar og beføjelser; ID.RA-07 om at ændringer håndteres, vurderes for deres betydning for risikoen, registreres og følges.

Senest gennemgået: oktober 2026.