IT-governance
Den måde, ledelsen styrer IT på: hvem der beslutter, hvilke mål og risici der prioriteres, hvilke regler der gælder, og hvordan der følges op.
Kort svar
IT-governance handler om, hvordan IT bliver styret – ikke om, hvordan den bliver drevet. Det dækker, hvem der træffer beslutninger om IT, hvilke risici ledelsen accepterer, hvilke regler medarbejdere og leverandører skal følge, og hvordan der følges op. I en mindre virksomhed behøver det ikke være et stort system: Ofte er det en ansvarlig person i ledelsen, en kort IT-politik, en liste over systemer og leverandører og et fast møde, hvor status og risici gennemgås.
- Sætte retningLedelsen beslutter mål, budget og hvilke risici der er acceptable.
- Fordele ansvarRoller, IT-politik og krav til leverandører skrives ned.
- UdføreDrift, projekter og sikkerhed udføres internt eller af leverandør.
- Følge opStatus, hændelser og risici gennemgås, og kursen justeres.
Governance er ikke det samme som drift
Det er nyttigt at skelne mellem tre niveauer: Governance er ledelsens styring – hvad skal IT kunne, hvad må det koste, og hvilke risici er acceptable. Management er planlægningen af, hvordan det gennemføres. IT-drift er det daglige arbejde. Man kan outsource driften og en del af planlægningen, men ikke ledelsens ansvar for at sætte retningen og følge op.
Sikkerdigital.dk formulerer det enkelt: Stærk digital sikkerhed starter hos ledelsen. Siden peger blandt andet på en IT-sikkerhedspolitik kombineret med en beredskabsplan, en IT-risikovurdering og krav til leverandører, når IT-ydelser og cloud er outsourcet.
Sådan kan det se ud i en mindre virksomhed
- En ansvarlig i ledelsen, som ejer IT-området – også selv om det praktiske er outsourcet.
- Overblik over systemer, vigtige data og leverandører, som Sikkerdigital.dk anbefaler som første skridt.
- En kort IT-politik, der beskriver regler for adgange, enheder, deling af data og brug af AI-værktøjer.
- Faste beslutningsregler: Hvem må købe nye tjenester, give administratoradgang eller godkende undtagelser?
- Opfølgning fx en gang i kvartalet: status fra IT-leverandøren, hændelser, opdateringer, backuptest og kommende udskiftninger.
- En beredskabsplan, som er afprøvet.
Eksempel: I en arkitektvirksomhed med 20 ansatte opretter medarbejderne selv konti i forskellige online-værktøjer til tegninger og deling. Ingen ved, hvor kundernes filer ligger, eller hvem der har adgang. En simpel regel – nye tjenester godkendes af en navngiven person og kobles på fælles login – er IT-governance i praksis.
Når governance bliver et lovkrav
For de fleste mindre virksomheder er IT-governance god praksis, ikke et lovkrav i sig selv. Men nogle regler stiller krav til ledelsen. Virksomheder, der er omfattet af NIS2-loven, skal have foranstaltningerne til styring af cybersikkerhedsrisici godkendt af ledelsesorganet, som også skal føre tilsyn med gennemførelsen, og ledelsens medlemmer skal deltage i relevante kurser (NIS2-lovens § 7). GDPR kræver, at den dataansvarlige kan påvise, at der er truffet passende tekniske og organisatoriske foranstaltninger.
Der findes også internationale rammeværker, fx den amerikanske NIST Cybersecurity Framework, som kan bruges som inspiration til struktur. Vores vurdering: For en virksomhed med 5–50 ansatte er det sjældent nødvendigt at følge et fuldt rammeværk – en kort politik, klare roller og fast opfølgning rækker langt.
Typiske misforståelser
- »Governance er kun for store virksomheder.« Behovet for at vide, hvem der beslutter og følger op, gælder uanset størrelse; omfanget er bare mindre.
- »Vores IT-leverandør står for det.« Leverandøren kan rådgive og rapportere, men prioriteringen og risikoaccepten er ledelsens.
- »Det er en stak dokumenter.« Dokumenter uden opfølgning ændrer ingenting. Det er møderne og beslutningerne, der tæller.
Spørgsmål I kan stille
- Hvem i ledelsen har ansvaret for IT og IT-sikkerhed?
- Har vi et opdateret overblik over systemer, data og leverandører?
- Hvem må tage nye IT-tjenester i brug, og hvem må give administratoradgang?
- Hvor ofte gennemgår vi IT-status og risici – og med hvem?
- Hvilke regler gælder for medarbejdernes brug af AI-værktøjer?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når ledelsen ikke har overblik over IT-risici og leverandører, når en kunde eller samarbejdspartner beder jer dokumentere jeres IT-sikkerhed, eller når I skal skrive en IT-politik. Furesø Data kan levere faste statusmøder og rapportering som en del af driften.
Spørgsmål og svar
Hvor meget tid kræver IT-governance i en lille virksomhed?
Typisk ikke meget, når grundlaget er på plads: et kvartalsvist møde med IT-leverandøren, en årlig gennemgang af politik og beredskabsplan og en klar regel for nye tjenester og adgange.
Forbehold: Opslaget er en generel forklaring, ikke juridisk rådgivning. Om en virksomhed er omfattet af NIS2-loven, afhænger af sektor og størrelse; reglerne står i NIS2-loven (lov nr. 434 af 6. maj 2025).
Kilder (tjekket 31. oktober 2026)