Et fund om, at sikkerhedsfunktionen er for lille, bliver kun taget alvorligt, når det er underbygget. Det skal vise, hvilke opgaver der ikke bliver løst, hvilke risici det efterlader, og hvordan bemandingen ser ud holdt op mod opgaven. At funktionen føler sig presset, er ikke nok. Underbygget på den måde kan fundet bruges i en drøftelse af ressourcer, hvor ledelsen træffer et valg med åbne øjne.
Artiklen nævner ingen beløb, lønninger eller budgetandele. Den handler om, hvordan fundet bygges.
Hvorfor fundet er svært at bruge
Et fund om ressourcer lyder let som et ønske fra den, der bliver vurderet. Sikkerhedsfunktionen siger, at den har for travlt, og ledelsen hører en anmodning om flere folk. Uden underbygning bliver fundet stående i rapporten år efter år, fordi ingen kan se, hvad der konkret mangler.
I en koncern kommer det til, at sikkerhedsopgaverne er spredt. En del ligger i koncernens sikkerhedsfunktion, en del hos lokale IT-chefer, der har sikkerhed som en af mange opgaver, og en del hos leverandører. Spørgsmålet “er funktionen stor nok?” kan derfor ikke besvares ved at tælle hoveder i én afdeling.
Hvad sammenligningstallene siger
De 1 080 svar bag ENISA’s NIS Investments 2025 kommer især fra store virksomheder i EU. ENISA’s undersøgelse angiver 10,6 procent, regnet som sikkerhedsårsværk i forhold til IT-årsværk, og det er den laveste andel i ENISA’s målinger. Rapporten forklarer faldet især med, at IT-teams vokser hurtigere, og at det kan afspejle vanskeligheder ved at rekruttere. Rapportens tekst angiver ikke, om tallet er et gennemsnit eller en median; figuren viser begge.
Dertil melder 76 procent om problemer med at rekruttere sikkerhedsfolk, og 71 procent om problemer med at holde på dem.
Tallet kan bruges som et pejlemærke, ikke som en norm. Det siger noget om, hvordan andre store organisationer i EU er bemandet, men intet om, hvad en bestemt koncern har brug for. En koncern med meget outsourcet drift kan have en lille egen funktion og en stor opgave hos leverandørerne. En koncern med egen drift og produktion kan have brug for langt mere. Hvordan ENISA-tallene bruges som benchmark, er uddybet i ENISA’s NIS Investments 2025 som benchmark.
Hvad målestokkene siger om roller
Efter punkt 1.2.4 i bilaget til forordning 2024/2690 skal sikkerheden afhængigt af enhedens størrelse varetages af særlige roller ud over de eksisterende. Forordningen omfatter kun de digitale udbydere i artikel 1. Som målestok for andre siger punktet, at sikkerhed i en større organisation ikke kan være en bisag for en, der har andre opgaver.
For intern revision kræver standard 9.4 fra IIA, at revisionschefen skal informere bestyrelse og direktion om, hvad ressourcebegrænsninger betyder for dækningen. Kravet gælder intern revisions egne ressourcer. Logikken kan overføres til sikkerhedsfunktionen: Det, der ikke kan dækkes med de givne ressourcer, skal frem til ledelsen. Overførslen er sitets tolkning.
Sådan underbygges fundet
Det er praksis at bygge fundet i tre lag:
- Opgaver · En liste over de sikkerhedsopgaver, koncernens politik og regler kræver, og hvem der løser dem
- Huller · De opgaver, der ikke løses, løses for sjældent eller kun i nogle selskaber
- Risici · Hvad hullerne betyder, koblet til koncernens risikoregister
Opgavelisten er det vigtigste. Den gør det muligt at se, at fx adgangsgennemgange kun sker i halvdelen af selskaberne, at ingen gennemgår logfiler i de mindre selskaber, eller at leverandørstyringen kun dækker de største kontrakter. Det er konkrete huller, som ledelsen kan forholde sig til.
Bemandingen tælles derefter på tværs: koncernens funktion, de lokale IT-chefers tid til sikkerhed og leverandørernes leverancer. Det er sitets vurdering, at den lokale tid ofte overvurderes, fordi den tælles som en hel stilling, selv om sikkerheden kun er en lille del af den.
Fundet i ressourcedrøftelsen
Et underbygget fund giver ledelsen tre muligheder. Den kan tilføre ressourcer, så hullerne lukkes. Den kan flytte opgaver, fx til en leverandør eller fra lokale til fælles løsninger. Eller den kan acceptere, at nogle opgaver ikke løses, og dermed acceptere risikoen. Alle tre er legitime valg, når de træffes bevidst og dokumenteres.
Det er praksis at præsentere fundet som en liste over huller med tilknyttede risici og at lade drøftelsen af ressourcer tage udgangspunkt i, hvilke huller ledelsen vil lukke. Hvordan et gab bliver til en sag, ledelsen kan beslutte på, kan I læse om under modenhedsgabet som investeringssag.
Hvad det kræver, og hvad det koster at lade være
Det kræver en opgaveliste, en ærlig opgørelse af den tid, der bruges på sikkerhed i hele koncernen, og en kobling til risikoregistret. Det kræver også, at sikkerhedsfunktionen er villig til at vise, hvad den ikke når.
Lader man det være, står fundet i rapporten som en klage, ledelsen kan afvise. Hullerne bliver stående, og risikoen bæres, selv om ingen har truffet et valg om den.
Det skal I lade være med
- At bruge ENISA’s tal som en norm for koncernen · det er et pejlemærke for andre store organisationer.
- At tælle lokale IT-chefer som fuld sikkerhedsbemanding · sikkerheden er ofte en lille del af deres tid.
- At fremlægge fundet uden opgaver og risici · så lyder det som et ønske.
Det skal gennemgangen kunne vise
- ☐ En liste over sikkerhedsopgaver og hvem der løser dem i hvert selskab.
- ☐ En oversigt over opgaver, der ikke løses eller kun løses delvist.
- ☐ En kobling af hullerne til risici i koncernens register.
- ☐ En dokumenteret beslutning om at tilføre, flytte eller acceptere.
Kilder
- ENISA, 2025 NIS Investments, main report, afsnit om bemanding, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 1.2.4, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de sikkerhedsopgaver op, som koncernens politik kræver, og markér for hvert selskab, hvem der løser dem.
Læs også: CISO’s rapporteringslinje som auditpunkt · Små enheder i en stor koncern
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
