En vurdering af cybersikkerheden i en større virksomhed ser også på, hvor sikkerhedsfunktionen sidder, og hvem CISO taler med. Både danske og britiske anbefalinger til bestyrelser peger på direkte forankring i direktionen og en løbende dialog med bestyrelsen.
Placeringen afgør, om dårlige nyheder når frem, før de er blevet til en hændelse. En CISO, der rapporterer tre led under direktionen, kan have ret i alt og stadig ikke blive hørt.
Hvad anbefalingerne siger
Bestyrelsesforeningens vejledning Cybersikkerhed for bestyrelse og direktion fra september 2023 (V4.3) har seks temaer. Under temaet om organisering lyder anbefalingen, at sikkerhedsfunktionen har sin faglige forankring i direktionen med en direkte linje til bestyrelsen, og at kontrollen af risici er uafhængig af dem, der ejer dem. Tjeklisten spørger blandt andet, om risikoejeren kontrollerer sig selv, og om der er afsat tilstrækkelige ressourcer. Under temaet om rapportering anbefales det, at bestyrelsen før hvert møde får en rapportering, der blandt andet omfatter resultater af revisionsgennemgange.
Henvisningerne gælder udgaven fra september 2023. Centret har varslet en opdateret udgave, så tjek, om der er kommet en nyere, før I bruger punkterne.
Storbritanniens kodeks for cyberstyring, offentliggjort i april 2025, henvender sig til bestyrelser i mellemstore og store organisationer. Under princip E beder den bestyrelsen om en regelmæssig dialog begge veje med relevante ledere, herunder CISO eller en tilsvarende rolle. Koden er britisk og frivillig og kan bruges som målestok, ikke som krav i Danmark.
Hvad IIA’s model siger
IIA’s Three Lines Model siger, at organisationer kan ønske, og tilsynsmyndigheder kan kræve, at ledere af anden linje har en direkte rapporteringslinje til bestyrelsen. Det er efter modellen fuldt foreneligt med den. Modellen tillader så mange rapporteringslinjer mellem ledelse og bestyrelse, som der er brug for.
Men modellen holder også fast i, at anden linje hører til ledelsens side, hvordan linjerne end går. En direkte linje til bestyrelsen giver altså adgang og synlighed, men den gør ikke sikkerhedsfunktionens vurderinger uafhængige.
Når intern revision ser på placeringen
IIA’s Cybersecurity Topical Requirement beder den interne revision vurdere roller og ansvar i styringen af cybersikkerhed. Under risikostyring skal revisionen vurdere, om der er ansvar fastlagt, og om en person eller et team jævnligt overvåger og rapporterer om cyberrisici. Kravet gælder for revisionsfunktioner, der følger IIA’s standarder, og ikke for virksomheden som sådan. Men det betyder, at placeringen er et naturligt emne, når cybersikkerhed står i revisionsplanen.
Hvad en vurdering ser på
Ingen regel beskriver, hvad en vurdering af placeringen skal indeholde. Punkterne nedenfor er praksis.
- Linjen · Hvem CISO refererer til, og hvor mange led der er op til direktionen
- Adgangen · Om CISO har adgang til bestyrelse eller revisionsudvalg, hvor ofte, og om det sker uden andre til stede
- Rapporterne · Hvad der når bestyrelsen, og om det er redigeret af andre undervejs
- Interessekonflikter · Om CISO rapporterer til den, der er ansvarlig for driften, som CISO skal udfordre
- Koncernen · Hvordan koncern-CISO og de lokale sikkerhedsansvarlige er forbundet, og hvem der kan eskalere til hvem
- Ressourcer · Om funktionen har de ressourcer og kompetencer, opgaven kræver, set i forhold til ansvaret
Interessekonflikten er den, der oftest bliver diskuteret. Når CISO rapporterer til IT-direktøren, skal CISO udfordre den, der også bestemmer over CISO’s egen fremtid. Det kan fungere, men det er sitets vurdering, at en vurdering bør beskrive risikoen og de modvægte, virksomheden har sat op, fx en fast plads på revisionsudvalgets dagsorden.
Placeringen i en koncern
I en koncern er der ofte flere niveauer. En koncern-CISO kan have direkte adgang til koncernens bestyrelse, mens de lokale sikkerhedsansvarlige refererer til den lokale IT-chef. Spørgsmålet er da, om en alvorlig risiko i et datterselskab kan nå koncernens bestyrelse, uden at den lokale ledelse kan holde den tilbage. Det er praksis at beskrive eskalationsvejen skriftligt og afprøve den i en øvelse. Den britiske kode beder desuden om formel rapportering til bestyrelsen mindst hvert kvartal med nøgletal og tolerancer, og en sådan rapport kan samle billedet fra alle niveauer.
Et tænkt eksempel
En tænkt koncern har en koncern-CISO, der refererer til IT-direktøren, som refererer til økonomidirektøren. CISO møder revisionsudvalget én gang om året sammen med IT-direktøren. En vurdering vil her typisk beskrive tre forhold: at der er to led op til direktionen, at CISO aldrig har talt med udvalget alene, og at CISO’s rapporter går gennem den, der har ansvaret for driften.
Anbefalingen kan være at give CISO en fast plads på udvalgets dagsorden med et møde uden andre til stede eller at flytte linjen op. Valget er bestyrelsens. Vurderingen skal ikke sige, at én placering er den rigtige, men vise, hvad den nuværende placering betyder for, hvilke oplysninger der når bestyrelsen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrivelse af sikkerhedsfunktionens placering, rapporteringslinjer og adgang til bestyrelsen, og at bestyrelsen tager stilling til, om placeringen passer til risikoen. Placeringen ses igen ved omorganiseringer.
Uden det kan sikkerhedsfunktionen være godt bemandet og stadig ikke blive hørt. Advarsler stopper et led for tidligt, og bestyrelsen får først kendskab til risikoen, når den er blevet til en sag. Det er sjældent nogens hensigt. Det er en følge af en organisation, hvor den, der ser risikoen først, sidder for langt fra dem, der kan beslutte noget.
Det skal I lade være med
- At tro, at en direkte linje gør CISO uafhængig · anden linje er stadig en del af ledelsen.
- At lade al rapportering gå gennem den, CISO skal udfordre · det skaber en interessekonflikt.
- At glemme de lokale led i koncernen · risikoen skal kunne nå koncernens bestyrelse.
Det skal gennemgangen kunne vise
- ☐ Et organisationsdiagram med sikkerhedsfunktionens rapporteringslinjer.
- ☐ Hvor ofte CISO har mødt bestyrelse eller revisionsudvalg det seneste år.
- ☐ En beskrevet eskalationsvej fra datterselskaberne til koncernens bestyrelse.
- ☐ Bestyrelsens stillingtagen til, om placeringen passer til risikoen.
Kilder
- Bestyrelsesforeningens Center for Cyberkompetencer, Cybersikkerhed for bestyrelse og direktion, september 2023 (V4.3), anbefalinger s. 8 til 11 og tema 4 og 6 og 15, læst 14. november 2026.
- Department for Science, Innovation and Technology, Cyber Governance Code of Practice, princip E3, læst 14. november 2026.
- IIA, The IIA’s Three Lines Model (2020, opdateret september 2024), s. 9 og 11, læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement, februar 2025, Governance C og Risk management C, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tegn vejen fra en lokal sikkerhedsansvarlig til koncernens bestyrelse, og tæl leddene.
Læs også: Bestyrelsesforeningens anbefalinger om cybersikkerhed som tjekliste · Uklart ansvar mellem koncern-CISO og enhederne
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
