kunde spørger, hvem vores CISO er, men vi har ingen separat funktion til det

Ingen CISO i virksomheden er ikke et problem

Spørgsmålet om en CISO handler ikke om en titel på et visitkort, men om rollen: hvem er ansvarlig for informationssikkerhed og cybersikkerhed, og hvem kan kunden kontakte, hvis der opstår noget. I mindre virksomheder ligger denne rolle ofte hos direktøren, IT-lederen eller en person, der håndterer det "ved siden af". Det er et gyldigt svar, så længe du kan pege på, hvem det er, og hvad denne person gør.

Besvar derfor spørgsmålet med den funktion, der faktisk udfylder rollen, ikke med "n.a.". Typisk udfyldelse: "rollen som CISO udfyldes af [funktion], ansvarlig for [opgaver]". Det stemmer overens med, hvad kunderne i praksis kontrollerer: ikke titlen, men om der er tilsyn med risikovurdering og beskyttelse af informationssystemer og om den sikkerhedsforanstaltninger periodisk bliver kontrolleret. Governance er det underliggende tema, ikke et personalespørgsmål.

Governance er uafhængig af funktionstitlen

Artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) nævner ti kategorier af foranstaltninger, herunder politik for risikoanalyse og sikring af informationssystemer — en CISO-titel findes ikke på denne liste. ISO/IEC 27001 arbejder efter samme logik: Annex A kræver tildelte ansvar for informationssikkerhed (ofte under A.5, organisation af informationssikkerhed), ikke et specifikt funktionsnavn. Kundens spørgeskema oversætter normalt dette krav til "hvem er CISO'en", fordi det er det sædvanlige udtryk i større organisationer, men det underliggende spørgsmål bliver ved: er ansvaret tildelt. Så snart det er fastlagt — selv hvis det er i en funktionsbeskrivelse for direktøren — er der et faktisk grundlag for et svar, selv uden selve titlen.