CISO som tjeneste

CISO som tjeneste betyr at en erfaren sikkerhetsleder fra Berigo går inn i rollen som virksomhetens CISO, uten at dere må ansette i full stilling. Den eksterne CISO-en leder sikkerhetsarbeidet, holder fremdriften og rapporterer til ledelse og styre. Beslutningene, budsjettet og eierskapet til risikoen blir hos dere.

Mange virksomheter har ikke behov for, eller kapasitet til, en CISO på fulltid. Styret, kunder og myndigheter forventer at sikkerhetsarbeidet er systematisk, dokumentert og integrert i virksomhetsstyringen. En ekstern CISO gir virksomheten erfaren sikkerhetsledelse i det omfanget virksomheten faktisk trenger.

Når passer en ekstern CISO?

CISO som tjeneste passer særlig godt i disse situasjonene:

• Virksomheten trenger sikkerhetsledelse på ledernivå, men har ikke behov for eller kapasitet til en CISO i full stilling.
• Virksomheten omfattes av NIS2 eller forbereder seg på direktivet eller DORA, og ledelsen trenger en plan og et beslutningsgrunnlag.
• Kunder og anbudskonkurranser stiller krav til informasjonssikkerhet eller til sertifisering etter ISO/IEC 27001.
• Sikkerhetsarbeidet må holdes stabilt gjennom interne endringer i organisasjonen.
• Ledelsen og styret får rapporter fra IT og leverandører, men mangler en samlet vurdering av om risikoen håndteres.

Sammenlignet med en fast stilling gir CISO som tjeneste tilgang til erfaren sikkerhetsledelse uten lønnskostnaden for en fast ansatt. Ved behov kan et oppdrag også omfatte Berigos tilknyttede spesialister innen teknisk sikkerhet, beredskap og etterlevelse. En fast ansettelse kan være riktigere når virksomheten over tid trenger en sikkerhetsleder på heltid i egen organisasjon.

Rollefordelingen: hva Berigo tar ansvar for, og hva dere beholder

En innleid sikkerhetsleder kan lede sikkerhetsarbeidet, men kan ikke eie virksomhetens risiko. Rollefordelingen nedenfor er utgangspunktet for et oppdrag, og detaljene tilpasses virksomheten.

Berigo tar ansvar for

• Ledelse av sikkerhetsarbeidet og fremdriften i tiltaksplanen.
• Forslag til sikkerhetsstrategi, policyer og veikart, som ledelsen godkjenner.
• Risikovurderinger og et samlet risikobilde som ledelsen kan beslutte på.
• Beslutningsgrunnlag og anbefalinger til ledelse og styre.
• Oppfølging av tiltak, avvik og sikkerhetsmål.
• Sikkerhetskrav til leverandører, og oppfølging av at kravene blir levert.
• Kompetanseoverføring, med mål om at virksomheten over tid eier sitt eget sikkerhetsarbeid.

Dere beholder

• Eierskapet til risikoen og beslutningen om hvor mye risiko virksomheten skal leve med.
• Prioriteringer og beslutninger som krever ledelsens myndighet.
• Budsjettet og beslutningen om hva sikkerhetsarbeidet skal koste.
• Eierskapet til styringssystemet og policyene.
• Gjennomføringen av organisatoriske og tekniske tiltak i egen organisasjon, sammen med IT og leverandørene deres.
• Tid fra nøkkelroller og en kontaktperson som kan avklare spørsmål underveis.

Ledelsens og styrets egne plikter kan ikke settes ut til en leverandør. Under NIS2 skal ledelsesorganet i vesentlige og viktige virksomheter godkjenne tiltakene for å håndtere cybersikkerhetsrisiko og føre tilsyn med gjennomføringen (artikkel 20 nr. 1). Ledelsesorganet kan etter NIS2 holdes ansvarlig når virksomheten bryter kravene til risikostyring i artikkel 21. Medlemmene av ledelsesorganet skal selv gjennomgå opplæring (artikkel 20 nr. 2). En ekstern CISO kan forberede ledelsesorganets beslutninger om sikkerhetstiltak og rapportere på gjennomføringen, men godkjenningen av tiltakene og tilsynet med dem ligger hos ledelsesorganet. Per september 2026 er NIS2 ikke gjennomført i norsk rett, men myndighetene har varslet at direktivet skal gjennomføres i ny lovgivning. Uavhengig av NIS2 kan styremedlemmer og daglig leder bli erstatningsansvarlige etter aksjeloven § 17-1. Siden om NIS2 for styret beskriver styrets rolle nærmere.

Dette leverer en ekstern CISO

Leveransene tilpasses virksomhetens behov og modenhet. Typiske leveranser er disse:

• Sikkerhetsstrategi, policyer og veikart: et dokumentert grunnlag som knytter sikkerhetsarbeidet til virksomhetens mål og prioriteringer.
• Risiko- og sårbarhetsanalyser: kartlegging av trusler, vurdering av tiltak og et risikobilde med prioriterte anbefalinger.
• Styringssystem for informasjonssikkerhet: etablering og drift av et styringssystem basert på ISO/IEC 27001. ISO/IEC 27001 dekker mange av de samme områdene som NIS2, men en sertifisering er ikke i seg selv bevis for at NIS2-kravene er oppfylt. Skal virksomheten sertifiseres, er løpet beskrevet på siden om ISO 27001-rådgivning.
• Forberedelse til NIS2 og DORA: gap-analyse og implementeringsplan som hjelper dere å møte kravene som gjelder for virksomheten.
• Sikkerhetsrapportering til ledelse og styre: risikorapporter, nøkkeltall og modenhetsvurderinger.
• Beredskap og hendelseshåndtering: varslingsplan, rutiner for hendelseshåndtering, øvelser og etteranalyse.
• Leverandør- og tredjepartsrisiko: vurdering av leverandører og sikkerhetskrav i kontrakter.
• Sikkerhetskultur og opplæring: bevisstgjøringsprogrammer, opplæring av ledelsen og øvelser med simulert nettfisking.
• Personvern: samspill mellom CISO-rollen og personvernombudet, og støtte til vurderinger av personvernkonsekvenser (DPIA).
• Kontinuerlig forbedring: oppfølging av nøkkeltall, internrevisjon organisert med nødvendig uavhengighet, og forberedelse av ledelsens gjennomgåelse.

Slik starter vi, og slik følger vi opp

Oppstart

Et samarbeid begynner med en uforpliktende og konfidensiell samtale. I den første samtalen kartlegger vi nåsituasjon, modenhet, regulatoriske krav og ambisjonsnivå. Etter den første samtalen foreslår Berigo struktur, omfang og fremdrift tilpasset virksomheten.

Oppdraget starter med en gap-analyse mot kravene som gjelder for virksomheten. Gap-analysen gir en prioritert tiltaksliste med risiko- og modenhetsvurdering. Ledelsen godkjenner prioriteringene i tiltakslisten, og den godkjente tiltakslisten blir arbeidsplanen for den eksterne CISO-en.

Løpende oppfølging

Den eksterne CISO-en deltar i ledermøter, rapporterer til styret, følger opp sikkerhetsmål og driver kontinuerlig forbedring. Statusmøter holdes i en takt dere avtaler med Berigo. Sikkerhetsarbeidet forankres i ledelsen fra første dag. Kompetanseoverføring er en del av leveransen, fordi målet er at virksomheten selv eier sitt sikkerhetsarbeid.

Samarbeid med ledelse, styre, IT og leverandører

• Ledelsen: Den eksterne CISO-en deltar i ledermøter, legger fram beslutningsgrunnlag og anbefalinger, og følger opp det ledelsen har besluttet.
• Styret: Berigo rapporterer til styret og presenterer risikobildet slik at styret kan godkjenne og følge opp. Den som leder sikkerhetsarbeidet, kan ikke samtidig vurdere sikkerhetsarbeidet uavhengig. Er Berigo virksomhetens eksterne CISO, bør en uavhengig vurdering av sikkerhetsarbeidet komme fra en annen part. For styrer der Berigo ikke leder sikkerhetsarbeidet, beskriver siden om styrerådgivning hvordan styret kan få en uavhengig vurdering.
• IT-avdelingen: IT eier driften og gjennomfører de tekniske tiltakene. Den eksterne CISO-en stiller krav, prioriterer sammen med ledelsen og følger opp at tiltakene virker.
• Driftsleverandør (MSP), sikkerhetssenter (SOC) og andre leverandører: Den eksterne CISO-en erstatter ikke leverandørene deres. Den eksterne CISO-ens rolle er å stille sikkerhetskrav til leverandørene, følge opp at kravene blir levert og ta avvik opp med ledelsen. Under NIS2 skal vesentlige og viktige virksomheter ivareta sikkerheten i forholdet til sine direkte leverandører (artikkel 21 nr. 2 bokstav d), og kravene kommer gjennom kontraktene.

Hva som avgjør omfang og pris

Omfang og pris fastsettes etter en innledende avklaring. Et oppdrag kan variere fra begrenset bistand hver måned til en full funksjon som innleid sikkerhetsleder med tilknyttede spesialister. Disse forholdene avgjør omfanget:

• Virksomhetens størrelse og kompleksitet, for eksempel antall selskaper, lokasjoner og kritiske systemer.
• Hvilke regelverk og standarder som gjelder, for eksempel NIS2, DORA, GDPR og ISO/IEC 27001.
• Modenheten i dag, og hvor mye som må bygges fra grunnen av.
• Ambisjonsnivå og tempo, for eksempel om en kunde eller en anbudskonkurranse setter en frist for sertifisering.
• Hvor mye av arbeidet Berigo skal gjøre, og hvor mye dere gjør med egne ressurser.
• Hvor tett den eksterne CISO-en skal delta i ledermøter, styremøter og rapportering.
• Behovet for spesialister innen teknisk sikkerhet, beredskap eller etterlevelse.

I den første samtalen kartlegger vi hva som avgjør omfanget hos dere, som grunnlag for et forslag til struktur, nivå og kostnadsmodell.

Slik rapporteres fremdrift og resultater

Ledelsen og styret får fast rapportering fra den eksterne CISO-en, i en hyppighet som avtales med dere. Rapporteringen dekker status på tiltak og sikkerhetsmål, avvik og hendelser, prioriterte risikoer og anbefalte tiltak.

Nøkkeltallene velges sammen med ledelsen, slik at de sier noe om eksponering og gjennomføringsevne. Eksempler på nyttige nøkkeltall er tid til gjenoppretting, dekningsgrad på kritiske systemer og fremdrift mot mål ledelsen selv har vedtatt. Modenhetsvurderinger viser hvordan virksomheten utvikler seg over tid.

Har virksomheten et styringssystem etter ISO/IEC 27001, forbereder den eksterne CISO-en også ledelsens gjennomgåelse. ISO/IEC 27001 krever at ledelsens gjennomgåelse ender i beslutninger. Artikkelen Sikkerhet avgjøres i styrerommet, ikke i serverrommet forklarer hvilke beslutninger om sikkerhet ledelsen selv eier.

Tjenesten har mange navn

Det markedet kaller vCISO, virtuell CISO, ekstern CISO, innleid sikkerhetsleder, innleid sikkerhetssjef eller sikkerhetssjef til leie, er det samme som Berigo leverer som CISO som tjeneste. Uansett navn betyr CISO som tjeneste at en erfaren sikkerhetsleder tar ansvar for styringen og fremdriften, uten at virksomheten må ansette i full stilling. Forskjellen mellom tilbyderne ligger sjelden i navnet, men i hvor mye ansvar tilbyderen faktisk tar. Berigo går inn i rollen, ikke bare i rådgivningen.

Vil dere vurdere om en ekstern CISO passer for virksomheten? Ta kontakt for en uforpliktende og konfidensiell samtale om behov, omfang og kostnadsmodell.