Sikkerhedskoordinator (ISMS)

En sikkerhedskoordinator holder virksomhedens ledelsessystem for informationssikkerhed i live. Systemet kaldes et ISMS og bygger som regel på standarden ISO/IEC 27001. Koordinatoren skriver ikke bare politikker i en mappe. Opgaven er at få dem fulgt, målt og opdateret.

Typiske opgaver:

• Vedligeholde sikkerhedspolitikker, procedurer og fortegnelsen over systemer, data og systemejere
• Køre risikovurderinger sammen med systemejere og følge op på handlingsplanerne bagefter
• Holde styr på Statement of Applicability og de valgte kontroller fra ISO 27001 Annex A
• Vurdere leverandører og besvare kundernes sikkerhedsspørgeskemaer og udbudskrav
• Planlægge awareness-træning, phishingtest og halvårlige adgangsreviews
• Forberede intern audit, ledelsens evaluering og den eksterne certificeringsaudit

En almindelig dag starter sjældent med et angreb. Den starter med opfølgning. Koordinatoren jagter en systemejer, der mangler at godkende en risiko. Derefter et møde med en leverandør om deres underleverandører. Så en gennemgang af afvigelser fra sidste audit. Om eftermiddagen måske en tabletop-øvelse på beredskabsplanen.

Rollen er ikke teknisk drift. Koordinatoren konfigurerer ikke firewalls og læser ikke logs hele dagen. I stedet spørger hun: hvem ejer det, hvornår blev det sidst testet, og hvor står det dokumenteret? Ved en hændelse er koordinatorens opgave dokumentation, tidslinje og underretning — ikke selve oprydningen.

Meget af arbejdet er opsøgende og politisk. Man har ansvar uden at have kommandoen over IT-driften. Derfor er evnen til at forhandle og forklare vigtigere end evnen til at kode. Ledelsesrapportering fylder også: kort status på risici, hændelser, afvigelser og modenhed.

Rollen findes især i forsyning, transport, sundhed, finans, hosting- og IT-driftsvirksomheder, større produktionsvirksomheder, kommuner og softwarehuse, der sælger til det offentlige. I små virksomheder er man alene om hele ISMS. I store organisationer er man en af flere under en informationssikkerhedschef.

Hvilken lovgivning dækker denne rolle?
Rollen kræver ingen autorisation, men den findes på grund af konkrete regler. EU's NIS2-direktiv er gennemført i Danmark med NIS2-loven, der trådte i kraft 1. juli 2025. Loven kræver risikostyring, leverandørsikkerhed og underretning om hændelser, og tilsynet føres af Styrelsen for Samfundssikkerhed og de sektoransvarlige myndigheder. Databeskyttelsesforordningen GDPR kræver passende sikkerhed for persondata, og Datatilsynet fører tilsyn med det. I finanssektoren gælder desuden EU's DORA-forordning under Finanstilsynet, mens ISO/IEC 27001 er en frivillig standard uden lovkraft.

Der findes ingen fast uddannelse til sikkerhedskoordinator. De fleste kommer ind ad to døre: den tekniske eller den administrative.

Den typiske uddannelsesvej er erhvervsakademiuddannelsen i IT-sikkerhed på to år eller datamatikeruddannelsen på to et halvt år. Adgangskravet er en gymnasial eksamen eller en relevant erhvervsuddannelse. Herefter kan man læse videre på en professionsbachelor i softwareudvikling eller en kandidat i cybersikkerhed. Er du allerede i job, findes en akademi- eller diplomuddannelse i it-sikkerhed på deltid over cirka to til tre år.

Mindst lige så mange kommer sidelæns. Almindelige spring ind i faget:

• Fra IT-support eller serverdrift, hvor man i forvejen kender systemerne
• Fra kvalitetsstyring med ISO 9001, hvor auditlogikken er den samme
• Fra jura, compliance eller DPO-rollen, hvor GDPR allerede fylder
• Fra projektledelse, hvor man er vant til at drive andre uden at være deres chef

Certificeringer betyder meget i jobopslagene. De mest efterspurgte er ISO/IEC 27001 Lead Implementer og Lead Auditor, som er kurser på tre til fem dage med eksamen. ISACA's CISM retter sig mod styring og ledelse, mens CRISC handler om risiko. (ISC)²'s CISSP er bredere og kræver fem års dokumenteret erfaring. Som første skridt tager mange CompTIA Security+ for at få det tekniske sprog på plads.

Regn med et til to år i en støttefunktion, før du selv ejer et ISMS. Den hurtigste vej er ofte en mindre virksomhed, der skal certificeres eller er blevet omfattet af NIS2-loven. Der får man hele bredden med det samme.

Karrieren går typisk videre mod informationssikkerhedschef eller CISO, mod GRC-konsulent i et rådgivningshus, mod intern auditor eller mod DPO-rollen. Nogle går den anden vej og bliver ekstern auditor hos et certificeringsorgan.

En sikkerhedskoordinator lever i dokumentation, ikke i konsoller.

GRC- og ISMS-platforme er kerneværktøjet. På det danske marked ses især RISMA og Wired Relations, mens tech-virksomheder ofte bruger Vanta eller Drata til løbende kontrolovervågning. Nogle kører open source med Eramba, og større koncerner bruger moduler i ServiceNow eller Archer. Rigtig mange små virksomheder kører stadig hele deres ISMS i Excel og SharePoint. Det virker, indtil det skal auditeres.

Microsoft 365 fylder meget i hverdagen. Purview til klassificering og datatab, Entra ID til adgangsreviews, Defender til endpoint-status og Compliance Manager til at følge kontrollerne. Koordinatoren læser tallene og efterspørger dokumentation — driften udføres af andre.

Af tekniske rapporter arbejder man med sårbarhedsscanninger fra Nessus eller Qualys, penetrationstestrapporter og SIEM-udtræk fra Microsoft Sentinel eller Splunk. Pointen er ikke at køre scanningen selv. Pointen er at se, om fundene bliver lukket til tiden.

Til awareness bruges CyberPilot, KnowBe4 eller Junglemap, ofte kombineret med simulerede phishingkampagner. Til dokumentation og opgaver bruges Confluence, Jira, SharePoint og et risikoregister.

Af rammeværk og vejledninger arbejdes der med ISO/IEC 27001 og 27002, CIS Controls, NIST Cybersecurity Framework og D-mærket. Dertil kommer vejledningerne fra Styrelsen for Samfundssikkerhed og Center for Cybersikkerhed, som oversætter NIS2-lovens krav til konkrete foranstaltninger.