Sikkerhed bremser forretningen

I en virksomhed, der vil vokse, kan sikkerhed komme til at fremstå som den afdeling, der siger nej. Nye løsninger bliver forsinket, salget venter på svar, og kunderne må vente på en funktion, fordi nogen vil have den vurderet først. Oplevelsen er reel, og den fortjener at blive taget alvorligt. Men den bygger på et bestemt billede af sikkerhed: som en kontrol, der står i vejen. Et andet billede er mere nyttigt for ledelsen. Kendt risiko gør det lettere at sige ja, fordi ledelsen ved, hvad den siger ja til. En sikkerhedstest kan være det, der gør et ja forsvarligt i stedet for at være det, der udsætter det.

Når bremsen er virkelig

Det er ikke en misforståelse, at sikkerhed kan forsinke. Det sker, når sikkerheden bliver koblet på sent, når ingen har mandat til at afgøre, hvor meget risiko der er acceptabel, eller når hvert nyt projekt bliver behandlet, som om det var det første.

I de situationer er det ikke sikkerheden i sig selv, der bremser. Det er måden, den er organiseret på. En vurdering, der kommer i sidste øjeblik, bliver en forhindring. En vurdering, der kommer tidligt, bliver en del af planen. Og et spørgsmål, som ingen har mandat til at besvare, bliver hængende, indtil nogen tager det op med ledelsen. Bremsen kan altså sidde i beslutningsgangen, ikke i sikkerheden.

Sikkerhed som grundlag for at sige ja

Den britiske nationale myndighed for cybersikkerhed, NCSC, skriver i sin vejledning om risikostyring, at bedre forretningsresultater bør være den primære drivkraft for at styre cybersikkerhedsrisici. Vejledningen lægger vægt på, at risikostyringen skal belyse de reelle risici, så organisationen kan forstå dem og træffe beslutninger.

For ledelsen er pointen enkel. Formålet med sikkerheden er ikke at undgå al risiko, men at gøre det muligt at tage de risici, forretningen har brug for, med åbne øjne. En ny webshop, et nyt samarbejde eller en ny app indebærer altid risiko. Spørgsmålet er, om ledelsen kender den, når den siger ja. → Risikovillighed

Hvad en sikkerhedstest gør ved beslutningen

En sikkerhedstest af en ny løsning, før den sættes i drift, giver ledelsen tre ting, der gør det lettere at gå videre:

Et konkret billede · hvilke svagheder der er, og hvor alvorlige de er for forretningen.
Et valg · hvad der skal rettes før lancering, og hvad der kan vente.
Et grundlag at stå på · hvis kunder, bank eller bestyrelse spørger, kan ledelsen vise, at risikoen er vurderet.

Uden testen er valget mellem at sige nej af forsigtighed eller ja på godt held. Med testen kan ledelsen sige ja med en plan. Det er hurtigere end en lang diskussion om, hvorvidt løsningen er sikker nok, som ingen har grundlag for at afgøre. → Ny digital forretning

Sådan undgår ledelsen, at sikkerheden bremser

Ledelsen kan selv gøre meget for, at sikkerhed bliver en hjælp frem for en forhindring. Nogle få beslutninger flytter meget:

Tag sikkerheden med fra starten · når et nyt projekt godkendes, skal det fremgå, hvornår og hvordan risikoen vurderes.
Fastlæg risikovilligheden · så den, der vurderer, ved, hvor grænsen går, og ikke skal spørge hver gang.
Afsæt tid til test og rettelser i planen · så testen ikke rykker lanceringsdatoen.
Giv nogen mandat til at afgøre · en person i ledelsen, der kan beslutte, om en risiko er acceptabel.
Byg videre på det, der er lavet · genbrug vurderinger og test, når nye projekter ligner tidligere.

Når de fem ting er på plads, bliver sikkerhed en del af tidsplanen og ikke en overraskelse i slutningen. → Test i projektbudgettet

Når salget presser på

Salget kan opleve sikkerhed som en bremse, når en kunde venter på et svar, eller når en funktion, kunden ønsker, ikke er vurderet. Her er det ledelsens opgave at afveje. Et for hurtigt ja kan skabe en risiko, der rammer flere kunder end den ene. Et for langsomt svar kan koste ordren.

Ledelsen kan gøre afvejningen lettere ved at give salget et klart svar på, hvad der kan loves, og hvad der kræver en vurdering først. Det sparer tid, fordi spørgsmålet ikke skal op i ledelsen hver gang, og det giver sælgerne et svar, de kan give kunden med god samvittighed. Hvis en hurtig test er nødvendig for at nå en frist, er det godt at vide, at hastesager kan koste ekstra. En hastetest giver mindre tid til at overveje omfanget, og det er en ekstra grund til at planlægge i tide. Forholdene bag omfang og pris er beskrevet under pris og tilbud. → Hastetest

Et tænkt eksempel

En virksomhed, der sælger abonnementer på måltidskasser, vil lancere en funktion, hvor kunderne kan gemme betalingskort og bestille med ét klik. Marketing har en kampagne klar, men IT vil have funktionen testet først, og datoen er tæt på.

Direktøren beder om et møde, hvor IT og marketing sammen beskriver, hvad der står på spil. Ledelsen beslutter at holde lanceringsdatoen, men at teste funktionen i den uge, der var afsat til intern afprøvning, og at kampagnen udskydes et par dage, hvis testen viser alvorlige fund. Testen finder et fund, der rettes inden lanceringen, og et par mindre, der får en plan. Kampagnen går i gang som planlagt. Bagefter beslutter ledelsen, at nye funktioner med betaling fremover får afsat tid til test, allerede når de godkendes.

Det skal I lade være med

At koble sikkerheden på til sidst · så bliver den en forhindring.
At lade hver vurdering starte forfra · fastlæg risikovilligheden og genbrug det, der er lavet.
At lade spørgsmål hænge uden en, der kan afgøre dem · giv nogen mandat.
At sige ja på godt held for at nå en frist · afsæt tid til en målrettet test.
At se sikkerhed og forretning som modsætninger · formålet er at kunne sige ja med åbne øjne.

Hvad kan og ikke kan konkluderes

Sikkerhed kan forsinke, når den er organiseret forkert, men formålet er at gøre det muligt at tage forretningens risici bevidst. En sikkerhedstest af en ny løsning giver ledelsen et konkret grundlag for at sige ja med en plan. Den fjerner ikke risikoen, og den kan ikke træffe valget mellem forsigtighed og fremdrift for ledelsen. → Vækst og sikkerhed

Tjekliste til nye initiativer

☐ Fremgår det af projektgodkendelsen, hvornår risikoen vurderes?
☐ Er virksomhedens risikovillighed fastlagt og kendt?
☐ Er der afsat tid til test og rettelser før lancering?
☐ Har en person i ledelsen mandat til at afgøre, om en risiko er acceptabel?
☐ Ved salget, hvad der kan loves uden en særskilt vurdering?

Kilder

NCSC (UK), Risk management: bedre forretningsresultater som den primære drivkraft for styring af cybersikkerhedsrisici; risikostyring, der belyser de reelle risici og hjælper organisationen til at forstå og beslutte.

Senest gennemgået: oktober 2026.