Ansvarlig for it-krisen uden it-mandat: Mental overlevelse som NIS2-leder i et krydspres

Du bærer et ansvar, du ikke har værktøjerne til at indfri. Kravene er høje. Din reelle kontrol er lav.

Arbejdspsykologien har beskrevet den kombination i over 40 år. Robert Karaseks krav-kontrol-model peger på præcis dette: høje krav plus lav indflydelse giver belastning. Det er en af de bedst dokumenterede årsager til arbejdsrelateret stress.

I din rolle er skævheden ekstra grov. En kollega i en anden afdeling klikker på et link. En leverandør patcher for sent. En investering bliver udskudt endnu et kvartal. Konsekvensen lander alligevel på dit bord.

At reagere med uro, kort lunte, dårlig søvn og en konstant fornemmelse af "det er ikke nok" er en af de mest almindelige reaktioner på netop det vilkår. Det er ikke en fejl i dig. Det er en fejl i konstruktionen.

Meget af nattetankerne handler om ting, du aldrig har kunnet beslutte. De blander sig bare sammen med dem, du kan.

Tag ét stykke papir. To spalter:

• Det jeg selv kan beslutte — fx hvad der bliver risikovurderet, hvordan det rapporteres, hvad der står i min indstilling, hvem der bliver informeret.
• Det jeg kun kan anbefale — budget, bemanding, driftsprioritering, valg af leverandør, tempo på udbedring, om forretningen må tage en genvej.

Vær ærlig i spalte to. Det er dér, søvnen forsvinder.

Listen gør to ting. Den viser dig sort på hvidt, hvad du faktisk kan handle på. Og den er brugbar på næste ledelsesmøde, hvor du kan bede om mandat i stedet for om forståelse.

Vælg ét punkt fra spalte to. Bare ét. Skriv, hvem der kan flytte det, og hvad du helt præcist vil bede om.

NIS2 placerer pligten til at godkende sikkerhedsforanstaltningerne og føre tilsyn med dem hos ledelsesorganet. Ikke hos den, der udfører arbejdet. Styrelsen for Samfundssikkerhed har vejledt om netop ledelsens rolle.

Det er ikke en teknikalitet. Det er din vej ud af at bære det hele alene.

• Skriv din anbefaling som en kort, dateret indstilling: risikoen, dit forslag, konsekvensen hvis der ikke handles.
• Bed om et af tre svar: godkendt, afvist, eller risikoen accepteres som den er.
• Få svaret ned på skrift eller i et mødereferat. Én linje er nok.
• Læg det ét fast sted. Så skal du ikke huske det i hovedet klokken to om natten.

Det handler ikke om at dække sig ind. Det handler om, at et nej er en ledelsesbeslutning — ikke din personlige fiasko. Sådan er risikostyring faktisk tænkt: du gør risikoen synlig og beslutbar. Ledelsen tager stilling.

Det værste tidspunkt at opdage, at du mangler mandat, er klokken tre om natten.

Brug en rolig dag på at få tre ting skrevet ned:

• Hvad må du sætte i gang uden at spørge nogen? Fx isolere et system, lukke en adgang, tilkalde ekstern hjælp.
• Hvem ringer du til, når beslutningen er større end det? Navn og mobilnummer. Ikke en fællespostkasse.
• Hvem afløser dig efter det første døgn? Ingen træffer gode beslutninger på tyve timers vagt.

Under selve hændelsen: hold en simpel beslutningslog. Klokkeslæt, hvad du valgte, hvad du vidste på det tidspunkt. Den sparer dig for meget efterrationalisering bagefter — både over for andre og inde i dit eget hoved.

Og spis noget. Og læg dig ned i fire timer, når der er et hul. Det er ikke svaghed. Det er beredskab.

Efter måneder i alarmberedskab stopper kroppen ikke, bare fordi du lukker computeren. Ventetiden på næste hændelse er en belastning i sig selv.

Prøv noget lille i dag. Ikke en livsomlægning:

• Sig én fast sætning til dig selv, når du logger af: hvad står åbent, og hvem har den nu.
• Læg telefonen i et andet rum i én time. Ikke hele aftenen. Én time.
• Gå femten minutter uden podcast eller nyheder. Hovedet skal have lov at falde ned uden mere input.
• Fortæl én person, hvad du reelt går og bærer rundt på.

Det sidste betyder mest. Rollen er ensom, fordi du sjældent må dele detaljerne. Men du må godt dele, hvordan det er at stå med det. Fagnetværk og erfa-grupper for sikkerheds- og compliance-ansvarlige findes præcis af den grund. Der er flere end dig, der sidder med det samme krydspres.