I en virksomhed uden IT-ansvarlig bør hvert fund efter et sikkerhedstjek have én navngiven ejer og en frist. Ejeren står inde for, at fundet bliver løst, mens selve arbejdet godt kan ligge hos en anden. Typisk deles fundene mellem ejerlederen, IT-leverandøren og en intern kontaktperson.
Det lyder enkelt, og alligevel er det her, et tjek let går i stå. Rapporten bliver læst og godt modtaget, og så venter alle på, at en anden gør noget. IT-leverandøren venter på en bestilling, ejerlederen tror, leverandøren er i gang, og medarbejderen, der ved mest om IT, har ikke fået besked. Emnet er metode, og fordelingen nedenfor er praksis og et forslag.
Situationen i den lille virksomhed
De ni nationale råd om digital sikkerhed er tiltænkt virksomheder, hvor fx ejeren eller en administrativ medarbejder selv må håndtere den digitale sikkerhed, fordi der ikke er en IT-sikkerhedsansvarlig. Det er en almindelig situation. IT-sikkerheden er en opgave ved siden af alt det andet, og den, der har den, har sjældent tid eller viden til at løse alle fund selv.
Uden en IT-ansvarlig i den lille virksomhed er det særlig vigtigt, at ansvaret bliver placeret med navn. Ellers placerer det sig ikke.
Tre roller
Ejerlederen eller direktøren ejer beslutningerne. Fund, der kræver penge, ændrede vaner hos medarbejderne eller nye krav til leverandøren, kan kun besluttes af ledelsen. Ejerlederen er også den, der følger op og spørger, om tingene er gjort.
IT-leverandøren udfører det meste af det tekniske arbejde. Opdateringer, ændringer i opsætningen, backup og lukning af adgange er typisk leverandørens opgave. Leverandøren kan dog kun gøre det, der er bestilt, og det er værd at give den en skriftlig liste.
En intern kontaktperson holder sammen på det i hverdagen. Det kan være kontorchefen, bogholderen eller en medarbejder med interesse for IT. Kontaktpersonen holder listen over fund, taler med leverandøren og giver ejerlederen status. Personen behøver ikke kunne løse fundene selv.
Sådan får hvert fund en ejer
Et simpelt skema med fem kolonner er nok:
- Tænkt eksempel: en tidligere medarbejder har stadig en mailkonto · Ejer: Kontaktpersonen · Udføres af: IT-leverandøren · Frist: En uge · Status: Bestilt
Ejer er den, der står inde for, at fundet bliver løst. Udføres af kan være en anden, fx leverandøren. Frist sættes efter, hvor alvorligt fundet er. Status opdateres, når der sker noget.
Nogle fund kan ejes af kontaktpersonen, fx at bede leverandøren om en liste over administratorer. Andre bør ejes af ejerlederen, fx en beslutning om at indføre to-faktor-login for alle, også når nogen synes, det er besværligt.
Hvilke fund der går til leverandøren
En del fund handler om ting, kun leverandøren kan ændre. Det er praksis at samle dem i én skriftlig henvendelse, så de ikke drypper ind én ad gangen. Henvendelsen kan bede om en plan med datoer og en bekræftelse, når hvert punkt er gjort. Er der fund, der handler om leverandørens egen drift, fx hvem hos leverandøren der har adgang til jeres systemer, er det et spørgsmål til aftalen. Hvordan kunder stiller sådanne krav i kontrakten, er beskrevet under krav til IT-leverandører i aftalen.
Når ejerlederen er den eneste
I de mindste virksomheder er der måske ingen at give rollen som kontaktperson. Så har ejerlederen begge roller, og risikoen er, at fundene konkurrerer med kunder, regnskab og personale om den samme tid. To ting hjælper. Den ene er at lade IT-leverandøren holde listen og sende status hver måned, så ejerlederen kun skal læse og beslutte. Den anden er at begrænse listen til de fund, der betyder mest, og lade resten vente til næste gennemgang, hvor det står skrevet, at de venter.
En tredje mulighed er at aftale en kort opfølgning med den, der lavede tjekket, efter et par måneder. Det giver en dato, som gør det lettere at prioritere opgaven.
Opfølgningen
Et fast punkt på et møde, fx en gang om måneden, hvor kontaktpersonen viser skemaet, er en enkel måde at holde gang i det. Når et fund er løst, bør det kunne vises, fx med et skærmbillede af en ændret indstilling eller en bekræftelse fra leverandøren. Hvad der bør rettes først, og hvad der kan vente, står i efter tjekket.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ejerlederen udpeger en kontaktperson og giver vedkommende lidt tid hver måned, og at fundene bliver fordelt på et møde lige efter tjekket. Leverandøren bør have listen skriftligt.
Uden ejere går fundene i stå. Et halvt år senere er rapporten glemt, og virksomheden har brugt penge på et tjek, der ikke har ændret noget. Ved den næste gennemgang står de samme fund der igen.
Det skal I lade være med
- At give fundene til “IT” · når ingen hedder IT, ejer ingen dem.
- At lade leverandøren gætte, hvad der er bestilt · den kan kun gøre det, der står skriftligt.
- At lægge alt på ejerlederen · kontaktpersonen holder sammen på hverdagen.
Det skal auditten kunne vise
- ☐ En navngiven ejer og en frist for hvert fund.
- ☐ Hvilke fund der er sendt til leverandøren, og hvornår.
- ☐ Hvem der er intern kontaktperson.
- ☐ Status på fundene ved den seneste opfølgning.
Kilder
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: IT-leverandøren siger, at alt er fint · Rapporten fra et sikkerhedstjek
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
