Fundet om uklart ansvar betyder, at hverken koncern-CISO eller de enkelte selskaber kan sige præcist, hvem der skal gøre hvad. Koncernen har en politik, og selskaberne har en IT-chef, men ingen har skrevet ned, hvad koncern-CISO kan kræve, hvad selskabets ledelse selv svarer for, og hvem der følger op. Fundet lukkes med beslutninger om mandat, rapportering og tilsyn, ikke med flere dokumenter.
Det er sitets vurdering, at netop dette fund forklarer mange af de øvrige fund i en koncernvurdering. Når ansvaret er uklart, bliver opgaver udført i nogle selskaber og glemt i andre.
Sådan ser fundet ud i praksis
Fundet viser sig sjældent som ét tydeligt hul. Det viser sig som en række små uoverensstemmelser. Koncern-CISO tror, at selskaberne gennemgår adgange hvert halvår. Selskaberne tror, at det sker centralt. Koncernens politik siger, at hændelser skal meldes til koncernen, men ingen har sagt, hvilke hændelser, og hvor hurtigt. Et datterselskab har sin egen sikkerhedsansvarlige, som rapporterer til den lokale direktør og aldrig har talt med koncern-CISO.
I en vurdering kommer fundet frem, når de samme spørgsmål stilles på koncernniveau og i selskaberne, og svarene ikke passer sammen. Hvem ejer kontrollen? Hvem følger op? Hvem får rapporten? Når tre personer peger på hinanden, er fundet der.
Hvad loven siger om ansvaret
I NIS 2-loven er det ledelsesorganet i den omfattede enhed, der efter § 7, stk. 1, skal godkende foranstaltningerne og holde tilsyn med dem. Ordet koncern optræder ikke. Det er derfor en tolkning, når man siger, at ledelsen i hvert omfattet datterselskab selv står med ansvaret, også for de foranstaltninger, koncern-CISO har formuleret. Tolkningen er alligevel vigtig for fundet: Et datterselskabs bestyrelse kan ikke uden videre overlade sit tilsyn til koncernens sikkerhedsfunktion.
Forordning 2024/2690 går tættere på rollerne i sit bilag. Under punkt 1.2 skal roller og ansvar være fastlagt og kendt af ledelsesorganerne. Mindst én person skal have en direkte linje til ledelsesorganerne om sikkerheden. Ansvar, der strider mod hinanden, holdes adskilt, hvor det giver mening, og fordelingen tages op igen med faste mellemrum. Kun visse digitale tjenesteudbydere er bundet af det. Andre koncerner kan bruge punktet som tjekliste for en klar ansvarsfordeling.
Tilsyn ovenfra kommer ikke af sig selv
I sin opfølgning fra januar 2026 påpeger Rigsrevisionen, at et overordnet ministerium ikke havde fået organiseret noget tilsyn med, hvordan myndighederne under det klarede deres it-beredskab. Et andet ministerium havde ført tilsyn med en underliggende myndighed. Sagen er statslig, og den bruges her alene som et offentligt dokumenteret eksempel på, at et tilsyn fra toppen med enheder længere nede ikke opstår af sig selv. Det skal besluttes og tilrettelægges.
Beslutninger, der lukker fundet
Det er praksis at lukke fundet med fire beslutninger:
- Mandat · Hvad koncern-CISO kan kræve af selskaberne, og hvad der er anbefalinger
- Ejerskab · For hver kontrol: koncernen, selskabet eller en fælles tjeneste
- Rapportering · Hvad selskaberne melder til koncernen, hvor tit og i hvilket format
- Tilsyn · Hvordan koncernen efterprøver, og hvordan datterselskabets ledelse fører sit eget tilsyn
Beslutningerne bør træffes af koncernledelsen og meddeles datterselskabernes ledelser. Et notat fra koncern-CISO har ikke samme vægt som en beslutning fra direktionen.
Ejerskabet af kontroller i de fælles tjenester behandles for sig i fælles tjenester og shared service. Datterselskabets egen ledelses ansvar er beskrevet i datterselskabets egen bestyrelse.
Hvad vurderingen ser efter
En vurdering af ansvarsfordelingen ser efter, om der findes et skriftligt mandat, om ejerskabet af kontrollerne er fordelt, og om fordelingen er kendt i selskaberne. Den ser også efter, om koncern-CISO faktisk har adgang til selskabernes data og folk, og om selskabernes sikkerhedsansvarlige har en linje til koncern-CISO.
Det er sitets anbefaling at teste fordelingen med tre eller fire konkrete kontroller, fx adgangsgennemgang, hændelsesrapportering og test af gendannelse, og spørge både centralt og lokalt, hvem der ejer dem. Svarene viser hurtigt, om fordelingen findes på papiret eller i virkeligheden.
Et tænkt eksempel
Tænk jer en koncern, hvor koncern-CISO har udsendt en politik om, at alle hændelser skal meldes inden for et døgn. Et datterselskab i udlandet har sin egen sikkerhedsansvarlige, som har en lokal politik med en anden frist og en anden definition af en hændelse. Begge politikker er godkendt, den ene af koncernledelsen, den anden af selskabets bestyrelse. Ingen af dem henviser til den anden. Eksemplet er tænkt, men det viser, at fundet ofte består af to rigtige dokumenter, der ikke passer sammen.
Fundet og scoren
Uklart ansvar påvirker scoren på en særlig måde. Et selskab kan score højt, fordi det svarer, at kontrollerne udføres, mens det i virkeligheden regner med, at koncernen gør det. Det er sitets vurdering, at en score for et område uden afklaret ejerskab bør markeres som usikker, indtil fordelingen er beskrevet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at koncernledelsen beslutter mandat og ejerskab, og at beslutningen meddeles alle selskaber. Det kræver også, at datterselskabernes ledelser forstår, at de fortsat har et ansvar.
Lader man fundet stå, bliver de samme opgaver gjort to steder eller intet sted. Ved en hændelse går tiden med at finde ud af, hvem der skal handle.
Det skal I lade være med
- At løse fundet med endnu en politik · det kræver beslutninger om mandat og ejerskab.
- At lade datterselskabets ledelse tro, at koncernen har overtaget tilsynet · ansvaret ligger ifølge en tolkning af loven stadig lokalt.
- At antage, at tilsyn ovenfra sker af sig selv · det skal tilrettelægges.
Det skal gennemgangen kunne vise
- ☐ Et skriftligt mandat for koncern-CISO, besluttet af koncernledelsen.
- ☐ En fordeling af ejerskab for de vigtigste kontroller.
- ☐ En aftalt rapportering fra selskaberne til koncernen.
- ☐ Spor af, at datterselskabernes ledelser fører eget tilsyn.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 1.2, læst 14. november 2026.
- Rigsrevisionen, Fortsat notat til Statsrevisorerne om statens it-beredskab II, RN 1102/26, januar 2026, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg tre kontroller, og spørg koncern-CISO og to selskaber, hvem der ejer hver af dem.
Læs også: CISO’s rapporteringslinje som auditpunkt · Hændelser, der ikke når koncernen
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
