Virtual CISO (vCISO) — løn 2026: 66.664 kr. om måneden

En virtual CISO løser opgaven som sikkerhedsansvarlig for virksomheder, der har brug for fagligheden, men ikke for en fuldtidsstilling. Rollen købes typisk som et antal dage om måneden.

• Overblikket: hvor står virksomheden i dag — systemer, adgange, leverandører og de reelle risici
• Retningen: en plan med prioriterede indsatser, der passer til virksomhedens størrelse og økonomi
• Politikker: de nødvendige regler skrives, så de kan følges — ikke som dokumenter, der ligger ubrugte
• Leverandørerne: krav til it-leverandører og kontrol af, at de overholdes
• Ledelsen og bestyrelsen: risiko oversættes til forretningssprog, så der kan træffes beslutninger
• Hændelser: når noget sker, træder rollen til som den, der koordinerer og rådgiver
• Krav udefra: kunder, forsikring og lovgivning stiller krav, som skal kunne dokumenteres

Den faglige kerne er at prioritere hårdt. En mindre virksomhed kan ikke gøre alt, og værdien ligger i at pege på de få indsatser, der fjerner mest risiko for pengene — frem for at levere en liste på hundrede punkter, ingen når.

Hvilken lovgivning dækker denne rolle? Virksomheder i kritiske sektorer er omfattet af NIS2-direktivet, der stiller krav om risikostyring, leverandørsikkerhed og hændelsesrapportering — og som udtrykkeligt gør ledelsen ansvarlig. Finansielle virksomheder er omfattet af DORA-forordningen. Behandling af personoplysninger er omfattet af databeskyttelsesforordningen med krav om passende sikkerhed og om anmeldelse af brud til Datatilsynet inden 72 timer. Rollen er rådgivende: ansvaret efter reglerne ligger hos virksomhedens egen ledelse og kan ikke lægges ud til en ekstern.

Arbejdet bygger på anerkendte rammeværk — ISO 27001 og de fælles sikkerhedsanbefalinger — som bruges til at strukturere gennemgangen frem for at opfinde en egen model.

Risikooversigter og handlingsplaner holdes i regneark eller i systemer til styring af informationssikkerhed, hvor status følges mellem besøgene.

Dertil kommer spørgeskemaer til leverandører, skanningsværktøjer der viser åbne sårbarheder, og de skabeloner til politikker, beredskabsplaner og bestyrelsesrapportering, som rollen genbruger på tværs af kunder.