Hjem » Blog » Hvem har ansvaret for IT-sikkerheden?
Hvem har egentlig ansvaret for IT-sikkerheden i virksomheden?
Oktober 2026 · IT-sikkerhed · Ledelse
IT-partneren laver arbejdet. Medarbejderne er første forsvarslinje. Men ansvaret? Det ligger et andet sted, end mange tror.
Når vi spørger ledere i mindre og mellemstore virksomheder, hvem der har ansvaret for IT-sikkerheden, får vi typisk et af tre svar. “Det har vores IT-ansvarlige.” “Det har vores IT-leverandør.” Eller en kort pause.
Alle tre svar er forståelige. Men ingen af dem er helt rigtige. For der er forskel på, hvem der udfører arbejdet, og hvem der har ansvaret for det.
Men ikke ansvaret.
Det korte svar: Ledelsen
IT-sikkerhed handler i sidste ende om at beskytte forretningen: data, drift, kunder og omdømme. Derfor er det ledelsen, der skal beslutte, hvor godt beskyttet virksomheden skal være, og hvad det må koste. Det er ikke en teknisk beslutning. Det er en forretningsbeslutning.
Det betyder ikke, at direktøren skal opdatere firewalls. Men det betyder, at ledelsen skal vide, hvor virksomheden står, og tage stilling til de risici, der er.
Hvem gør hvad?
Det er sjældent viljen, der mangler. Det er klarheden. Når ingen har skrevet ned, hvem der gør hvad, falder opgaverne mellem to stole. Sådan kan en fordeling se ud:
| Opgave | Ledelse | Intern IT | IT-partner | Ansatte |
|---|---|---|---|---|
| Beslutte sikkerhedsniveau og budget | ● | ○ | ○ | |
| Risikovurdering | ● | ○ | ○ | |
| Drift, opdateringer og overvågning | ○ | ● | ||
| Backup og test af gendannelse | ○ | ● | ||
| Adgange, når folk starter og stopper | ● | ○ | ||
| Awareness og sikker adfærd | ○ | ● | ○ | ○ |
| Melde mistænkelige hændelser | ○ | ○ | ● | |
| Beslutninger under en krise | ● | ○ | ○ |
Brug gerne skemaet som udgangspunkt, og ret det til jeres virksomhed. Det vigtigste er ikke, at fordelingen er perfekt. Det vigtigste er, at den er skrevet ned, og at alle kender den.
Hvad siger loven?
For virksomheder, der er omfattet af NIS2, er spørgsmålet afgjort ved lov. Ledelsen skal godkende virksomhedens cybersikkerhedsforanstaltninger og føre tilsyn med, at de bliver gennemført. Medlemmerne af ledelsen skal også deltage i relevant uddannelse om cybersikkerhed.
Opgaverne må gerne uddelegeres, fx til en intern ansvarlig eller en IT-partner. Men ansvaret bliver hos ledelsen. I særlige tilfælde kan myndighederne midlertidigt forbyde en direktør at udøve sin ledelsesfunktion, hvis manglerne ikke bliver rettet.
Er I ikke selv omfattet af NIS2, gælder GDPR stadig. Her er det virksomheden, der er dataansvarlig for de persondata, I behandler. Og mange af jeres kunder er måske omfattet af NIS2 og stiller derfor krav til jer som leverandør.
Sådan tager ledelsen ansvaret i praksis
Det kræver ikke, at ledelsen bliver IT-eksperter. Det kræver fem faste vaner:
Mangler I et sted at starte, giver CIS18 et fælles sprog mellem ledelse og IT, så I kan tale om det samme. Og for at være klar, når noget går galt, bør ansvaret også stå beskrevet i jeres beredskabsplan.
Ofte stillede spørgsmål
Kan vi lægge ansvaret over på vores IT-leverandør?
Nej. I kan lægge opgaverne over på en IT-leverandør, men ansvaret for, at virksomheden er tilstrækkeligt beskyttet, bliver hos ledelsen. Derfor er det vigtigt, at aftalen beskriver præcis, hvad leverandøren gør.
Gælder ansvaret også bestyrelsen?
Ja. Under NIS2 omfatter ledelsesorganet både direktion og bestyrelse i omfattede virksomheder. Også uden for NIS2 er cybersikkerhed en forretningsrisiko, som bestyrelsen bør forholde sig til.
Hvad hvis vi ikke er omfattet af NIS2?
Så er der ingen NIS2-krav til ledelsen. Men GDPR gælder stadig, jeres kunder kan stille krav, og et cyberangreb rammer forretningen uanset hvad. Ansvaret ligger i praksis det samme sted.
Hvem bør være intern IT-ansvarlig i en lille virksomhed?
Det behøver ikke være en IT-person. Det skal være en, der har ledelsens opbakning, kender forretningen og har tid til at følge op, fx en økonomichef eller driftschef.
IT-GOVERNANCE
Ved ledelsen, hvor I står med IT-sikkerheden?
Vi hjælper med at fordele ansvaret og give ledelsen det overblik, den skal bruge.
