Director of Cyber Governance

En director of cyber governance styrer de regler, virksomheden skal drive sikkerhed efter. Rollen laver ikke selv overvågning, patching eller hændelseshåndtering. Den bestemmer, hvad der skal måles, dokumenteres og godkendes — og af hvem.

Det mest tidskrævende er sjældent teknikken. Det er at få forretningen til at følge reglerne uden at stoppe driften.

Typiske opgaver:

• Skrive og vedligeholde informationssikkerhedspolitik, adgangsstyring og retningslinjer for leverandører
• Køre risikovurderinger og holde et risikoregister, hvor ledelsen formelt accepterer eller afviser risici
• Forberede og bestå certificeringsaudit efter ISO/IEC 27001 og levere input til ISAE 3402-erklæringer
• Besvare kunders og myndigheders sikkerhedsspørgeskemaer, som ofte fylder meget i outsourcing og finans
• Vurdere tredjepartsrisiko: due diligence på nye leverandører, databehandleraftaler og underleverandørkæder
• Planlægge beredskabsøvelser og sikre, at hændelser bliver indberettet inden for fristerne i NIS 2-loven
• Bygge awareness-programmer, inklusive den lovpligtige undervisning af ledelsen
• Rapportere modenhed og afvigelser til direktion, bestyrelse og revisionsudvalg
• Lede et team af security advisors, GRC-specialister og eventuelt en DPO

En almindelig dag kan se sådan ud. Morgenen går med teammøde og status på åbne auditfund. Derefter et møde med indkøb om en cloud-leverandør, der ikke vil underskrive standardbilaget. Efter frokost skriver du en side til bestyrelsen om, hvor virksomheden står på NIS 2. Sidst på dagen kommer en driftschef og beder om dispensation fra en regel, du selv har skrevet.

Rollen sidder tæt på CISO'en. I nogle virksomheder er det samme person, i større koncerner er governance et selvstændigt spor ved siden af security operations. Du refererer typisk til CISO, CIO eller direkte til direktionen.

Det svære ved jobbet er, at du har ansvar uden at eje systemerne. Du kan sjældent beordre en ændring igennem. Du skal overbevise en forretningsenhed, der har travlt med noget andet.

Hvilken lovgivning dækker denne rolle?
Rollen findes i sin nuværende form især på grund af EU's NIS2-direktiv, som i Danmark er udmøntet i NIS 2-loven med ikrafttræden 1. juli 2025. Loven placerer ansvaret for at godkende og føre tilsyn med sikkerhedsforanstaltninger hos virksomhedens ledelsesorgan, og ledelsen skal selv deltage i undervisning om cyberrisici. Styrelsen for Samfundssikkerhed koordinerer den danske implementering, mens de sektoransvarlige myndigheder fører tilsyn, og tele-, energi- og finanssektoren er reguleret gennem særskilt lovgivning. Finansielle virksomheder er samtidig omfattet af EU's DORA-forordning, hvor Finanstilsynet er tilsynsmyndighed. Behandling af persondata følger databeskyttelsesforordningen (GDPR) under Datatilsynet. Selve titlen kræver ingen autorisation — det er kravene til virksomheden, ikke til personen, der er lovbestemte.

Der findes ingen dansk uddannelse, der hedder cyber governance. Folk kommer ind fra flere retninger, og erfaring vejer tungere end papiret.

Den mest almindelige vej er en lang videregående uddannelse plus mange års praksis. Typiske uddannelser er datalogi, software engineering, cand.merc.(it), jura eller ingeniør. Bachelor og kandidat tager samlet fem år. Adgangskravet er en gymnasial uddannelse med matematik på mindst B-niveau til de tekniske linjer.

Derefter går der som regel otte til femten år, før man får direktørtitlen. Ingen ansætter en governance-chef uden at have set vedkommende stå i en rigtig audit.

Alternative veje ind i faget:

• Fra it-drift eller arkitektur, hvor man kender systemerne og skifter til at skrive reglerne for dem
• Fra revision, især it-revision i et af de store revisionshuse, hvor man allerede arbejder med kontroller og erklæringer
• Fra jura eller en DPO-rolle, hvor man kommer med GDPR-siden og lærer teknikken bagefter
• Fra konsulentbranchen, hvor man har lavet ISO 27001-implementeringer hos mange kunder
• Fra Forsvaret eller det offentlige, hvor Center for Cybersikkerhed er en kendt fødekæde

Certificeringer betyder meget i denne rolle, fordi de er det eneste fælles sprog på tværs af lande. De mest efterspurgte er CISM og CRISC fra ISACA, CISSP fra ISC2 og CISA til revisionssiden. Dertil kommer ISO/IEC 27001 Lead Implementer eller Lead Auditor. En certificering tager typisk nogle måneders forberedelse, og flere kræver dokumenteret erhvervserfaring, før de udstedes.

Flere danske universiteter udbyder efter- og videreuddannelse i cybersikkerhed på diplom- og masterniveau. Det er en almindelig vej for folk, der allerede er i job og vil have ledelsesdelen med.

Engelsk på arbejdsniveau er et krav. Rammeværk, kontraktbilag og koncernrapportering er stort set altid på engelsk, også i danske virksomheder.

Hvis du skal hyre en: se efter nogen, der har stået med et auditfund og fået det lukket. Det siger mere end antallet af certifikater.

Værktøjskassen er delt i tre: rammeværk, GRC-platforme og rapportering.

Rammeværkene er fundamentet. ISO/IEC 27001 og 27002 udgives i Danmark af Dansk Standard og er den mest brugte certificeringsstandard. Mange supplerer med NIST Cybersecurity Framework til modenhedsmåling og CIS Controls til de konkrete tekniske kontroller. Mindre danske virksomheder møder ofte D-mærket i stedet.

GRC-platforme holder styr på politikker, risici og kontroller. Almindelige valg er ServiceNow IRM, Archer, OneTrust og LogicGate. På det danske marked bruges også lokale løsninger som Neupart, og CyberPilot til awareness-træning. I mindre organisationer kører det hele stadig i Excel og SharePoint — det er værd at vide, hvis du skal hyre.

Rollen læser data frem for at producere dem. Du får rapporter fra sårbarhedsscanning i Tenable eller Qualys, logdata fra et SIEM og status fra Microsoft Defender og Purview. Du bruger dem til at dokumentere, at kontrollerne virker. Du sidder ikke selv i konsollen.

Til dokumentation og opfølgning bruges Jira og Confluence, og til ledelsesrapportering typisk Power BI og PowerPoint. Til leverandørvurdering arbejder man med standardiserede spørgeskemaer og med ISAE 3402- og SOC 2-erklæringer fra leverandørerne.