Skal I ansætte en CISO eller hente hjælp udefra?
Det afhænger af, hvor meget ledelsesarbejde sikkerheden kræver hos jer, og om nogen allerede gør det. Accel Comply gennemgår, hvad der taler for hver vej, og siger det ligeud, når svaret er en ansættelse.
Kort svar
Accel Comply, grundlagt af Behzad Motaghi, anbefaler: Ansæt en CISO, når sikkerheden kræver en leder i organisationen hver dag, med mandat og medarbejdere at lede. Hent erfaren hjælp udefra, når ledelsen mangler erfaring og retning, men ikke en fuld stilling. Støt jeres egen leder, når mandatet er der, men tiden eller modspillet mangler. Accel Comply hjælper med de to sidste i Danmark og Norden.
Hvornår det er rigtigt at ansætte en CISO
Ansæt, når sikkerheden fylder en hel arbejdsuge for en leder, nu og fremover. Tegnene er, at I har medarbejdere eller drift inden for sikkerhed, der skal ledes hver dag, at sikkerhed er en del af det, I sælger, eller at området skal bygges op i organisationen over flere år. Så har I brug for en, der er i huset, leder medarbejderne og har mandatet. Hjælp udefra kan stadig give mening, mens I rekrutterer, eller til at beskrive, hvad stillingen skal løse, men den skal ikke dække over et behov for en fast leder.
Hjælp udefra som alternativ til at ansætte en CISO
Hjælp udefra passer, når det, der mangler, er erfaring på ledelsesniveau og ikke hænder i driften, og når arbejdet kommer i bølger: en budgetrunde, et bestyrelsesmøde, en ny leverandør, et nyt marked. Så får ledelsen hjælp, når der skal træffes beslutninger, uden at I behøver at oprette en ny stilling.
Når I allerede har en sikkerheds- eller IT-chef
Så kan det rigtige spørgsmål være, om jeres chef har tid nok, snarere end om I skal ansætte en til. Har IT-chefen også fået sikkerheden, er det værd at se på, hvor meget af arbejdet der er ledelse, og hvor meget der er drift. Driften kan købes hos en leverandør, og ledelsesarbejdet kan deles med en erfaren rådgiver udefra, som beskrevet under Sparring og second opinion. Bliver ledelsesarbejdet for stort til det, er det tid til en ansættelse.
Hvad koster en ekstern CISO? Det afgør prisen
Prisen afhænger af fire ting. Omfang: en enkelt beslutning eller en løbende del af sikkerhedsarbejdet. Rytme: et par gange om året eller hver måned med direktion og bestyrelse. Tilgængelighed: hvor hurtigt I skal kunne få fat i den senior, der leder arbejdet, også når noget presser sig på. Kompleksitet: hvor mange systemer, leverandører, lande og regler der er i spil. Hos Accel Comply står prisen i tilbuddet, når omfanget er kendt. Hold den op mod, hvad en ansættelse kræver af løn, rekruttering og ledelsestid, og mod, hvor meget arbejde der faktisk er.
Tre situationer, hvor spørgsmålet dukker op
Bestyrelsen vil have en sikkerhedschef ansat, men ingen ved, hvad vedkommende skal løse
I får kortlagt, hvilke beslutninger om sikkerhed der venter, og hvor meget ledelsesarbejde der er i dem. Så kan bestyrelsen vælge mellem en ansættelse og hjælp udefra ud fra arbejdet, og vælger I at ansætte, ved kandidaterne, hvad de skal løse.
Rekrutteringen trækker ud, og et leverandørvalg og et budget venter imens
Accel Comply tager de ventende beslutninger op med ledelsen i mellemtiden, så de ikke også skal vente på den nye leder. Den nye leder starter med beslutningerne og begrundelserne samlet og skal ikke stykke dem sammen bagefter.
En ny ejer spørger, hvem der har ansvaret for sikkerhed, og svaret er direktøren
Accel Comply hjælper ledelsen med at se, om spørgsmålet kræver en ansættelse nu, eller om hjælp udefra kan dække arbejdet. I får et svar til den nye ejer, der hænger sammen med jeres plan og jeres økonomi.
Hvad arbejdet med beslutningen omfatter, og hvad det ikke omfatter
Det tager Accel Comply på sig
- En vurdering af, hvor meget ledelsesarbejde sikkerheden kræver hos jer
- Et oplæg til direktion og bestyrelse om at ansætte, hente hjælp udefra eller støtte jeres egen leder
- En beskrivelse af, hvad en ny leder skal løse, hvis I vælger at ansætte
- Erfaren hjælp på ledelsesniveau, hvis det er den vej, I vælger
Det tager Accel Comply ikke på sig
- Rekruttering, headhunting og udvælgelse af kandidater
- Sikkerhedsdrift og beredskab døgnet rundt
- Revision, certificering og penetrationstest
Bestyrelse og direktion beslutter, om der skal ansættes en CISO, og har ansvaret for sikkerheden, også hvis Accel Comply er jeres udpegede CISO.
Spørgsmål om at ansætte en CISO
Hvad koster en ekstern CISO?
Prisen på en ekstern CISO afhænger af omfang, rytme, tilgængelighed og kompleksitet, så der findes ikke én pris. En afgrænset beslutning koster noget andet end løbende arbejde med direktion og bestyrelse. Prisen fra Accel Comply for det arbejde, en ekstern CISO typisk dækker, kommer i et tilbud, når I har fortalt, hvad I står med, så I kan sammenligne den med en ansættelse på et konkret grundlag.
Skal vi have en CISO?
Ja, hvis sikkerheden fylder en hel arbejdsuge, og der er medarbejdere og drift at lede. Se på, hvem der i dag svarer, når bestyrelsen spørger til sikkerhed, og hvor meget af ugen det tager. Er det direktøren, og fylder det en del af ugen, kan hjælp udefra være nok. Midt imellem kan I starte med hjælp udefra og se, hvor meget arbejdet vokser.
Hvad er alternativet til at ansætte en CISO?
Der er tre: erfaren hjælp udefra på ledelsesniveau, støtte til en sikkerheds- eller IT-chef, I allerede har, eller drift købt hos en sikkerhedsleverandør, hvis det, der mangler, er hænder og overvågning. De kan kombineres. Accel Comply tager sig af de to første og hjælper jer med at stille krav til en leverandør, hvis I har brug for den tredje.
Kræver NIS2, at vi har en CISO?
NIS 2-loven nævner ikke en CISO. Den kræver, at ledelsesorganet godkender sikkerhedsforanstaltningerne og fører tilsyn med, at de bliver gennemført (§ 7). Accel Comply hjælper ledelsen med at se, hvilke sikkerhedsbeslutninger den selv skal træffe, uanset hvad stillingen hedder. Læs mere om ledelsens rolle under Bestyrelsens ansvar for IT-sikkerhed og om resten af forberedelsen under NIS2-parathed.
Kan vi starte med hjælp udefra og ansætte senere?
Ja. Så ser I, hvor meget arbejde der reelt er, før I skriver stillingsopslaget, og de ventende beslutninger bliver truffet undervejs. Når I er klar til at ansætte, kan Accel Comply hjælpe med at beskrive, hvad stillingen skal løse.
Mere om beslutningen
Usikre på, om I skal ansætte?
Skriv, hvem der har sikkerheden i dag, og hvad der venter på en beslutning. Så får I svar på, hvilken vej der ser ud til at passe, også hvis det er en ansættelse.