Når en ny direktør eller en ny IT-ansvarlig overtager ansvaret for IT-sikkerheden, kan en audit tidligt i forløbet fastslå, hvordan tilstanden var ved overtagelsen. Det giver et dateret udgangspunkt, så det, der blev arvet, kan holdes adskilt fra det, den nye leder selv sætter i gang.
Den nye leder får typisk en mundtlig overlevering, nogle dokumenter og en adgang til systemerne. Hvad der faktisk er på plads, ved ingen helt. Det gælder især, hvis forgængeren har haft det meste i hovedet, eller hvis der har været en periode uden nogen på posten. Emnet er en metodeovervejelse. Ingen regel kræver en audit ved lederskifte, og rådene nedenfor er praksis.
Hvad statussen kan afklare
En brugbar ramme er sikkerdigital.dk’s fire spørgsmål om audit. Kort gengivet handler de om, hvorvidt det beskrevne findes, om det bliver udført, om det tjener sit formål, og om det fungerer som tiltænkt. Ved en overtagelse giver de fire spørgsmål et klart billede af afstanden mellem papir og virkelighed.
Konkret kan statussen dække:
- Overblik. Findes der en liste over IT-systemer, værdifulde data og leverandører, og er den rigtig? Det er det første af de ni nationale råd fra Styrelsen for Samfundssikkerhed, og det er et godt sted at begynde.
- Politik og ansvar. Hvad står der i sikkerhedspolitikken, hvem har godkendt den, og hvem ejer de enkelte områder i dag?
- Adgange. Hvem har administratorrettigheder, og har forgængeren stadig adgang, der skulle være lukket?
- Backup og genetablering. Hvad tages der backup af, og hvornår er gendannelse sidst prøvet?
- Leverandører. Hvilke aftaler findes, hvad dækker de, og hvem har kontakten?
- Tidligere audits. Hvilke fund stod åbne, og hvad er status på dem nu?
Det sidste punkt er let at overse. Sikkerdigital.dk nævner resultater af tidligere audits og status på afvigelser som noget, en auditplan bør forholde sig til. Ved en overtagelse er det den nemmeste vej til at se, hvad der var kendt og ikke blev rettet.
Det arvede og det nye
Det centrale formål med statussen er at sætte en dato på tilstanden. Den nye leder kan derefter skelne mellem tre slags forhold:
- Arvede mangler, der var kendte. De stod i en tidligere rapport eller var nævnt ved overleveringen.
- Arvede mangler, ingen kendte. De kommer frem ved statussen.
- Nye forhold. Det, der opstår eller ændres efter overtagelsen.
Skellet er en fortolkning, og ingen kilde kræver det. Det er alligevel nyttigt over for både bestyrelse og direktion. En ny leder, der ikke har dokumenteret udgangspunktet, risikerer at stå til ansvar for mangler, som lå der i forvejen, eller at få æren for forbedringer, der allerede var i gang.
Hvornår statussen bør ligge
Statussen giver mest i de første måneder. Kommer den tidligt, er den et billede af det, der blev overtaget. Kommer den sent, har den nye leder allerede ændret ting, og så blandes det arvede med det nye. Omvendt skal der være tid til at lære organisationen at kende, så spørgsmålene bliver de rigtige. En rimelig afvejning er at bestille statussen, når den nye leder har overblik over folk og systemer, og før de første større beslutninger træffes.
Hvem bestiller
Er det en ny IT-ansvarlig, bestiller direktionen ofte statussen, eller den nye IT-ansvarlige gør det selv med direktionens accept. Er det en ny direktør, kan bestyrelsen have interesse i at få resultatet direkte. Bestyrelsesforeningens anbefalinger nævner resultater fra interne og eksterne audits blandt det, rapporteringen til bestyrelsen kan omfatte, og en status ved lederskifte passer ind dér. Hvordan bestyrelsen selv formulerer et opdrag, står i bestyrelsen vil have et uafhængigt billede.
Statussen og forgængeren
Statussen bedømmer tilstanden og lader forgængeren være. Den bør formuleres som en beskrivelse af tilstanden, med bevis, og uden at tillægge nogen skyld. Det gør den lettere at bruge sammen med de medarbejdere, der var der før, og som den nye leder har brug for.
Hvad det kræver, og hvad det koster at lade være
En status ved overtagelsen kræver, at den nye leder afgrænser, hvad der skal med, og giver auditor adgang til dokumenter, systemer og de medarbejdere, der kender historien. Er en af dem på vej ud, er det værd at tale med vedkommende først. Omfanget kan holdes lille, fordi formålet er et udgangspunkt.
Uden udgangspunkt flyder det arvede og det nye sammen. Ved den første hændelse er det uklart, om svagheden var der før eller er opstået siden. Den nye leder kan så hverken pege på, hvad der er forbedret, eller forklare, hvorfor noget tager tid.
Det skal I lade være med
- At vente, til de første ændringer er gennemført · så kan det arvede ikke skilles fra det nye.
- At skrive statussen som en vurdering af forgængeren · den beskriver tilstanden med bevis.
- At springe de tidligere fund over · de viser, hvad der var kendt og stod åbent.
Det skal auditten kunne vise
- ☐ Datoen for statussen og hvad den omfatter.
- ☐ Status på fund fra tidligere audits.
- ☐ En aktuel oversigt over systemer, data, leverandører og administratorrettigheder.
- ☐ Hvilke mangler der var kendte før overtagelsen, og hvilke statussen har afdækket.
Kilder
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, “Cybersikkerhed for bestyrelser”, marts 2021, s. 9-10, https://www.ds.dk/media/552b2gvc/cybersikkerhed-for-bestyrelser-anbefalinger-til-styrkelse-af-cyberkompetencer-v2-1-marts-2021.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgningsaudit og lukkebevis · Hvad indgår i en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
