Nr 02
2026
Säkerhetsledning som följer upp besluten
Har ni en åtgärdslista som väntar på beslut? Som deltids-CISO hjälper jag er att prioritera, följa upp och ge ledningen en tydlig bild av vad som behöver hända. Era ansvariga genomför åtgärderna.
En person som håller ihop arbetet
Vad är en deltids-CISO?
En deltids-CISO är en extern säkerhetschef på deltid. CISO står för Chief Information Security Officer. Jag leder det säkerhetsarbete vi kommer överens om, tillsammans med er uppdragsägare och IT, och följer upp vad som händer efter ledningens beslut.
Uppdraget kan börja med en analys som pekat ut åtgärder, en kund som frågar hur ni arbetar med säkerhet eller ett beslut i ledningen som behöver omsättas i vardagen. Ni får återkommande tillgång till senior kompetens utan att anställa en säkerhetschef på heltid.
Jag heter Jörgen Svedjeland och har erfarenhet som IT-chef och CISO. Jag leder Obriums arbete från start och är er kontakt i uppdraget.
Två faser
Från nuläge till återkommande uppföljning
Vi börjar med tre månaders etablering. Sedan prövar vi tillsammans hur många timmar per månad som räcker för er verksamhet.
Månad ett: mandat och nuläge
Inom månadens 24 timmar kommer vi överens om mål, avgränsning och vem som fattar besluten. Jag går igenom valda delar av nuläget, era kontaktvägar och vem som larmar vem vid en incident. Ni får en prioriterad bild av vad vi vet och vad som ännu inte har granskats.
Månad två och tre: ansvar och plan
Vi arbetar vidare inom samma ram, 24 timmar per månad. I månad två tar jag fram ett utkast till risk- och åtgärdsregister. Senast efter tredje månaden har riskerna och åtgärderna i registret utsedda ansvariga och ni har en plan för de närmaste 90 dagarna. Ledningen tar ställning till prioriteringarna.
Därefter: löpande säkerhetsledning
Efter etableringen prövar vi om 16 timmar per månad räcker. Jag stämmer av med er uppdragsägare, ledning och IT, följer upp beslut och öppna åtgärder samt håller registret aktuellt. Ni får en kort lägesbild varje månad och en sammanfattning till ledningen varje kvartal.
Det ni får i händerna
Fyra dokument som ledningen kan fatta beslut utifrån
Etableringen ger tre dokument och den löpande delen ett fjärde varje månad. Innehållet utgår från er verksamhet och det urval risker vi börjar med.
Mandat och nulägesbild
Vem som beslutar, vad uppdraget omfattar och en prioriterad bild av läget, där det också står vad som ännu inte har granskats.
Månad ett
Risk- och åtgärdsregister
Riskerna och åtgärderna med utsedda ansvariga, så att alla vet vem som gör vad och vad som väntar på beslut.
Senast efter tredje månaden
Plan för 90 dagar
Det ledningen har prioriterat för de närmaste tre månaderna, i den ordning det ska göras.
Senast efter tredje månaden
Lägesbild till ledningen
En kort sammanfattning av vad som har hänt, vad som har fastnat och vilka beslut som behövs. Varje kvartal sammanfattar jag periodens lägesbilder för ledningen.
Varje månad
Arbetet hos er
Ledningen får underlag och behåller beslutsansvaret
Jag föreslår prioriteringar, samordnar och följer upp. Er ledning beslutar om risker, budget och prioriteringar. Den som ni utser internt driver åtgärderna tillsammans med er IT eller driftpartner.
Ni utser rätt personer
En beslutsfattare behöver kunna delta när vi börjar och när prioriteringar ska avgöras. En intern uppdragsägare håller ihop genomförandet och ger mig kontakt med berörda personer. Er egen tid går främst till beslut och uppföljning: beslutsfattaren deltar i avstämningarna, och uppdragsägaren driver era åtgärder mellan avstämningarna.
Ni lämnar underlag
Jag behöver relevanta dokument och tillgång till en arbetsyta som ni godkänner för att ta fram nulägesbilden och följa upp registret. Vi väljer tillsammans vilken verksamhet och vilka risker vi börjar med.
Era ansvariga genomför
IT eller er driftpartner utför tekniska åtgärder. Uppdragsägaren ser till att beslutade uppgifter får ansvariga och en angiven status. Jag lyfter hinder och öppna frågor till rätt beslutsfattare.
Rapporteringsvägen går till ledningen
Vem jag rapporterar till står i mandatet från första månaden. Bedömer jag att en IT-leverans avviker från era beslut eller behov, tar jag upp det skriftligt med er ledning i nästa ordinarie lägesbild, oavsett vem som levererar. Under etableringen, eller när det inte kan vänta, tar jag det direkt med er ledning. Det är ingen oberoende revision.
Uppdragets gränser
När ni behöver mer än löpande ledning
Kortare råd och mindre dokumentuppdateringar kan rymmas i månadens timmar. Annat får en egen omfattning och offert:
- utbildningar och workshops
- formella gap-analyser och bedömningen av vilka lagkrav som gäller er
- större policyarbete
- incidentövningar och teknisk incidenthantering
- specialistinsatser och resor
Vid en incident kan jag ge råd under överenskommen arbetstid och i mån av tillgänglighet. Ni använder er egen larmväg och tekniska incidentpartner. Ingen jour eller garanterad svarstid ingår.
Tidsplanen för etableringen förutsätter att ni utser ansvariga, lämnar underlag i tid och börjar med en verksamhet och ett överenskommet urval risker. Om behoven är större prövar vi en annan omfattning innan arbetet börjar.
Passar det er?
När en deltids-CISO gör nytta
Tjänsten passar främst företag med 50–250 anställda som behöver återkommande prioritering men har egna personer som kan fatta beslut och genomföra åtgärder.
En åtgärdslista väntar
Ni vet vad som behöver göras men besluten och uppföljningen trängs undan av den dagliga driften.
En kund frågar
Ni behöver kunna visa vilka säkerhetsfrågor som är prioriterade, vem som ansvarar och hur arbetet följs upp.
IT behöver en beslutsväg
Er IT eller driftpartner kan sköta tekniken men behöver ledningens prioriteringar när risk och resurser ska vägas mot varandra.
Frågor och svar
Vanliga frågor om deltids-CISO
Priset anpassas efter er verksamhet. Be om ett offertpris för ert bolag: kontakt@obrium.se. Omfattningen är bestämd från början: 72 timmar under tre månaders etablering och därefter 16 timmar i månaden, som vi prövar mot ert behov. Möten, analys och dokumentation räknas av från samma timmar, så ni vet vad tiden ska räcka till.
Nej, och det bör ingen extern lova. Er ledning beslutar om risker, budget och prioriteringar, och era ansvariga genomför åtgärderna. Jag leder och följer upp det arbete vi har kommit överens om, enligt ert mandat, och lyfter det som hindrar genomförandet.
Det prövar vi under etableringen. När registret och planen finns ser vi hur mycket löpande arbete de kräver. Räcker inte timmarna kommer vi överens om en annan omfattning innan merarbetet görs.
Ni larmar via er egen larmväg och er tekniska incidentpartner. Under etableringen går vi igenom vem som larmar vem. Jag ger råd under överenskommen arbetstid och i mån av tillgänglighet, men ingen jour eller garanterad svarstid ingår.
En heltidsanställd finns på plats varje dag och passar när säkerhetsarbetet kräver daglig närvaro. En deltids-CISO ger återkommande senior säkerhetsledning i en avgränsad ram och förutsätter att ni har egna personer som genomför åtgärderna. Ni slipper rekryteringen, och arbetet kan börja när vi har bekräftat att vi har tid för uppdraget.
Ni får aktuell plan, register samt dokumentation av beslut och öppna frågor inom avtalad tid, så att ni kan fortsätta arbetet själva. En mer omfattande överlämning beställs separat.
Börja med det beslut som har fastnat
Berätta vad som utlöste behovet, vem hos er som fattar beslut och vem som kan driva åtgärderna. Vi prövar om upplägget passar och tar fram en offert anpassad till er verksamhet.