Ekstern CISO (vCISO): hvad laver de, og hvad koster en deltidssikkerhedschef?

En ekstern CISO (også kaldet vCISO eller sikkerhedschef på deltid) er en rådgiver, der varetager rollen som informationssikkerhedsansvarlig nogle timer om måneden: risikovurdering, politikker, leverandørstyring, beredskabsplan og rapportering til ledelsen. Ydelsen prissættes typisk pr. time (illustrativt 1.200–2.200 kr. ekskl. moms) eller som en fast månedspakke med et antal timer. En ekstern CISO overvåger ikke jeres systemer – det gør MDR eller SOC – men sørger for, at sikkerheden styres og dokumenteres. Ansvaret bliver hos ledelsen.

Guiden hører under prisoverblikket. Alle beløb er illustrative.

Hvad en ekstern CISO typisk leverer

Opgave	Konkret leverance	Hyppighed (eksempel)
Risikovurdering	Oversigt over aktiver, trusler og prioriterede tiltag	Årligt, opdateres ved ændringer
Politikker	Informationssikkerhedspolitik, adgangsstyring, backup, leverandører	Ved start, revideres årligt
Ledelsesrapportering	Kort status til direktion og bestyrelse	Kvartalsvis
Leverandørstyring	Krav til og opfølgning på it- og sikkerhedsleverandører	Løbende
Beredskabsplan	Plan for hændelser, kontaktliste, øvelse	Årligt
Kunde- og myndighedskrav	Besvarelse af sikkerhedsspørgeskemaer, NIS2-forberedelse	Efter behov
Awareness	Plan for træning af medarbejdere	Årligt

En god ekstern CISO oversætter tekniske risici til beslutninger, ledelsen kan tage stilling til: "Vi kan reducere risikoen for et længere nedbrud ved at investere X i backup-test – vil I det?"

Hvorfor ledelsen ikke kan overdrage ansvaret

Er virksomheden omfattet af NIS2-loven (lov nr. 434 af 6. maj 2025), skal sikkerhedsforanstaltningerne godkendes af ledelsesorganet, som også fører tilsyn med gennemførelsen (§ 7, stk. 1). Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici (§ 7, stk. 2). En ekstern CISO kan forberede beslutningerne og undervise, men kan ikke godkende på ledelsens vegne.

Også uden for NIS2 er det ledelsens opgave at sikre en forsvarlig drift. Se NIS2 og jeres sikkerhedsleverandør.

Prismodeller

Pr. time efter behov: Fleksibelt, men svært at budgettere. Passer til virksomheder med et konkret projekt, fx at svare på en kundes sikkerhedskrav.

Fast månedspakke: Et antal timer pr. måned til fast pris, ofte med en lidt lavere timepris. Ubrugte timer forfalder typisk eller kan overføres til næste måned efter aftale.

Projekt plus drift: Et opstartsprojekt (fx 60–120 timer til risikovurdering og politikker) efterfulgt af en mindre månedspakke.

Regneeksempel: tre modeller

Illustrativt eksempel for en virksomhed med 45 ansatte, der vil have styr på styring og dokumentation:

Model 1 – pr. time: 80 timer første år × 1.700 kr. = 136.000 kr. Derefter 30 timer om året × 1.700 kr. = 51.000 kr.

Model 2 – fast pakke: 8 timer om måneden × 1.500 kr. = 12.000 kr. pr. måned = 144.000 kr. om året. Mere forudsigeligt, men 96 timer om året er også flere timer, end virksomheden måske bruger efter år 1.

Model 3 – projekt plus drift: Projekt 70 timer × 1.600 kr. = 112.000 kr. Derefter 4 timer om måneden × 1.600 kr. = 6.400 kr. pr. måned = 76.800 kr. om året. Første år (projekt plus 6 måneders drift): 112.000 + 6 × 6.400 = 150.400 kr.

Model	År 1	År 2
Pr. time	136.000 kr.	51.000 kr.
Fast pakke	144.000 kr.	144.000 kr.
Projekt plus drift	150.400 kr.	76.800 kr.

Der er ikke én rigtig model. Har virksomheden en stabil it og få ændringer, kan timemodellen være billigst. Har den løbende kundekrav og en NIS2-forpligtelse, giver en fast pakke ro og kontinuitet. Læg den faste pakke i feltet for faste gebyrer i prisberegneren, hvis I vil se den samlede månedspris sammen med MDR.

Hvad I skal tjekke i aftalen

Hvem er personen? En ekstern CISO-ydelse er personbåret. Spørg, hvem der faktisk udfører arbejdet, og hvem der er stedfortræder.
Uafhængighed: Sælger samme firma også overvågning og værktøjer, kan rådgivningen blive farvet. Aftal, at CISO'en vurderer alle leverandører, også sin egen arbejdsgivers.
Leverancer: Skriv konkrete leverancer ind (fx risikovurdering inden 3 måneder, kvartalsrapport til ledelsen).
Tavshedspligt og adgang: CISO'en får indsigt i svagheder. Aftal fortrolighed og hvilke systemer de har adgang til.
Ubrugte timer: Forfalder de, eller kan de overføres?

Hvornår en ekstern CISO ikke er nok

Er virksomheden vokset til mange systemer, flere lokationer og et stort krav fra kunder, kan det være mere økonomisk at ansætte en intern sikkerhedsansvarlig og supplere med ekstern rådgivning. Se intern løsning eller administreret.

De første 90 dage med en ekstern CISO

Et typisk forløb kan se sådan ud (eksempel):

Periode	Leverance
Dag 1–30	Interviews, aktivliste, overblik over leverandører og eksisterende politikker
Dag 31–60	Risikovurdering med prioriterede tiltag og et budget
Dag 61–90	Første ledelsesrapport, udkast til politikker og beredskabsplan

Aftal leverancerne og datoerne på forhånd, så I kan måle, om forløbet holder.

Ofte stillede spørgsmål

Skal en lille virksomhed have en ekstern CISO?

Ikke nødvendigvis. For en virksomhed med 10 ansatte og standardsystemer kan SikkerDigitals 9 råd og en god it-leverandør være nok. En ekstern CISO giver mest værdi, når kunder, forsikring eller lovgivning stiller dokumentationskrav.

Kan en ekstern CISO hjælpe med D-mærket?

Ja, mange bruger rådgivning til at forberede D-mærkets selvevaluering og dokumentation. Se D-mærket og tilskud.

Er en ekstern CISO det samme som en DPO?

Nej. En databeskyttelsesrådgiver (DPO) efter GDPR har en særlig rolle med krav om uafhængighed. Nogle rådgivere kan varetage begge roller, men opgaverne og kravene er forskellige.

Kilder

Retsinformation – NIS2-loven § 7 om ledelsesorganets ansvar og kurser
Styrelsen for Samfundssikkerhed – NIS2-vejledninger
SikkerDigital – vejledninger og skabeloner til informationssikkerhed
Datatilsynet – databeskyttelsesrådgiver og sikkerhed