Har ni koll på vem som äger era säkerhetsrisker?

I det här inlägget går vi igenom vad vCISO faktiskt innebär, vad som bör ingå i en sådan tjänst, vad den kostar hos oss och hur ni kan utvärdera en leverantör.

vCISO: vad gör en virtuell säkerhetschef och vad kostar det?

En vCISO, virtuell informationssäkerhetschef, ger ledningen en namngiven säkerhetsfunktion utan att organisationen behöver rekrytera en heltidschef. Nyttan ligger inte i fler policydokument, utan i att risker får en ägare, prioriteringar blir genomförbara och säkerhetsarbetet följs upp löpande.

De flesta mindre och medelstora bolag har redan grunderna på plats: brandvägg, backup, kanske MFA. Det som ofta saknas är inte teknik, utan en ägare, någon som håller ihop helheten, prioriterar rätt åtgärder och rapporterar till ledningen så att beslut faktiskt blir av.

Det är precis det en vCISO, en virtuell säkerhetschef, finns till för. I den här artikeln går vi igenom vad rollen faktiskt innebär, vad som bör ingå i en sådan tjänst, vad den kostar hos Fiber Direkt och hur ni kan utvärdera en leverantör.

Vad betyder vCISO?

vCISO står för Virtual Chief Information Security Officer, på svenska ungefär virtuell informationssäkerhetschef. Rollen kombinerar strategiskt ledningsstöd med praktiskt arbete inom risk, styrning, regelefterlevnad, leverantörskontroll, incidentberedskap och säkerhetsutveckling.

En vCISO är inte samma sak som en tillfällig pentestare eller en konsult som skriver en policy och sedan lämnar. Poängen är kontinuitet. En person eller ett team lär känna verksamheten, driver en prioriterad plan och rapporterar regelbundet till ledningen.

Vilket problem löser en virtuell CISO?

Många organisationer har tekniskt kompetenta IT-ansvariga men saknar någon som håller ihop helheten. Brandväggar, backup och MFA kan finnas på plats samtidigt som ansvar, leverantörskrav, riskacceptans och incidentprocess är otydliga.

En vCISO ska överbrygga det glappet genom att:

• översätta verksamhetsrisk till konkreta säkerhetsprioriteringar
• ge ledningen ett beslutsunderlag i stället för tekniska detaljlistor
• skapa en sammanhållen plan för människor, processer och teknik
• följa upp att beslut faktiskt genomförs
• samordna interna resurser och externa leverantörer
• förbereda organisationen för incidenter, revisioner och krav från kunder

Vad bör ingå i en vCISO-tjänst?

Styrning och ansvar. Tydliga roller, säkerhetspolicy, beslutsforum, riskaptit och regelbunden rapportering. Ledningen ska veta vilka risker som accepteras, behandlas, överförs eller undviks.

Risk- och sårbarhetsarbete. Inventering av kritiska tillgångar, beroenden och hot. Resultatet ska vara ett levande riskregister med ansvarig, åtgärd, deadline och kvarvarande risk, inte bara ett dokument från förra året.

NIS2, GDPR och ISO 27001. NIS2-direktivet är sedan tidigare i kraft på EU-nivå, och i Sverige har det omsatts i cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026. Lagen ställer bland annat krav på att ledningen godkänner och övervakar cybersäkerhetsåtgärder, vilket gör frågan till ett styrningsansvar snarare än ett rent IT-ansvar. En vCISO kan hjälpa organisationen att tolka kraven, samla evidens och bygga ett fungerande ledningssystem. Det är viktigt att skilja mellan stöd för efterlevnad och ett juridiskt löfte om att organisationen är kompatibel. Ansvaret ligger kvar hos verksamheten och ledningen.

Leverantörs- och tredjepartsgranskning. Moln, drift, lönesystem, CRM och konsulter skapar beroenden. Väsentliga leverantörer bör bedömas utifrån data, behörigheter, incidentrapportering, kontinuitet, underleverantörer och exitmöjligheter.

Incident och kontinuitet. Organisationen behöver kontaktvägar, beslutsmandat, kommunikationsplan, återställningsordning och övningar. En plan som aldrig testats är ett antagande, inte en förmåga.

Identitet och åtkomst. MFA, rollbaserad behörighet, avveckling av konton, administratörsskydd och återkommande åtkomstgranskning ger ofta stor riskreduktion tidigt i programmet.

Fiber Direkts aktuella vCISO-paket

Priserna nedan anges exklusive moms.

vCISO Bas

• Omfattning: 5 timmar/månad
• Frånpris: 6 151 kr/månad
• Passar för: löpande rådgivning och stöd i avgränsade frågor

vCISO Plus

• Omfattning: 10 timmar/månad
• Frånpris: 11 914 kr/månad
• Passar för: aktivt arbete med risk, regelefterlevnad och säkerhetsutveckling

vCISO Premium

• Omfattning: 20 timmar/månad
• Frånpris: 23 310 kr/månad
• Passar för: högre krav på styrning, rapportering och NIS2-anpassning

Som referens kostar en lös konsulttimme utan abonnemang 1 495 kr. De flesta kunder börjar smalt och skalar upp när nuläget är kartlagt. Tilläggstjänster omfattar bland annat sårbarhetsbevakning, manuellt penetrationstest, MFA-workshop, NIS2-gap-analys, EASM, incidentövningar och SIEM/SOC-relaterat stöd.

När är vCISO bättre än att anställa?

En heltids-CISO kan vara rätt när verksamheten är stor, reglerad eller har ett omfattande internt säkerhetsteam. En vCISO är ofta mer ekonomisk när ni behöver senior kompetens och kontinuitet men inte 40 timmar i veckan.

vCISO passar särskilt när:

• kundkrav och upphandlingar kräver mer dokumenterad säkerhet
• NIS2 eller andra regelverk påverkar verksamheten
• IT-chefen samtidigt förväntas vara säkerhetschef
• risker och åtgärder saknar tydlig ägare
• bolaget växer, förvärvar eller byter teknisk plattform
• en incident har visat att ansvar och beredskap behöver stärkas

Ett rimligt upplägg för de första 90 dagarna

Dag 1 till 30, nuläge och prioritering. Kartlägg verksamhetens viktigaste tjänster, data, leverantörer, identiteter och kända risker. Bekräfta ledningens krav och definiera rapporteringsformat. Välj högst fem åtgärder som ger tydlig riskreduktion.

Dag 31 till 60, grundkontroller. Stärk administratörskonton och MFA, stäng kända exponeringar, testa återställning, etablera incidentkontaktvägar och påbörja leverantörsgranskning. Dokumentera beslut och evidens under arbetets gång.

Dag 61 till 90, styrning och plan. Fastställ målbild, årshjul och mätetal. Presentera riskläget för ledningen, få beslut om resurser och skapa en prioriterad förbättringsplan för kommande 6 till 12 månader.

Så utvärderar ni en vCISO-leverantör

Om ni funderar på att ta in en vCISO, oavsett om det blir hos oss eller någon annan, är det här frågor som är värda att ställa:

1. Vem blir er namngivna ansvariga kontakt?
2. Hur ofta får ledningen rapportering, och i vilket format?
3. Är tjänsten rådgivande, genomförande eller båda?
4. Hur hanteras sekretess, loggar och åtkomst till era system?
5. Vilka ramverk används, exempelvis NIST CSF 2.0 eller ISO 27001?
6. Hur samordnas pentest, EASM, incident och drift?
7. Hur mäts resultat och kvarvarande risk?
8. Vad händer vid en allvarlig incident utanför ordinarie tid?
9. Vilken kompetens finns för er bransch och teknikmiljö?
10. Hur avslutas uppdraget och hur överlämnas dokumentationen?

Vanliga frågor om vCISO

Tar en vCISO över ledningens ansvar? Nej. En vCISO ger underlag, leder arbetet och följer upp, men ledningen behåller sitt ansvar för organisationens risker och beslut.

Hur många timmar behöver vi? Fem timmar i månaden kan räcka för löpande rådgivning i en mindre miljö. Ett aktivt förbättringsprogram, NIS2-arbete eller incidentberedskap kräver ofta mer. Börja med ett definierat nuläge och ompröva omfattningen efter 90 dagar.

Kan vCISO kombineras med befintlig IT-partner? Ja. En bra vCISO skapar tydliga ansvar och kan samordna IT-drift, molnleverantörer, jurist, HR, ledning och tekniska säkerhetsspecialister.

Nästa steg

Om ni vill bolla ert nuläge går det bra att boka ett första säkerhetssamtal. Det kostar inget att prata igenom var ni står i dag och vilken omfattning som skulle passa er.

Boka ett första säkerhetssamtal →

Läs mer om hur Fiber Direkt arbetar med säkerhetsfrågor på sidorna om CISO Direkt och Säkerhet.