CISO och dataskyddsombud: gör överlämningarna tydliga

Säkerhets- och dataskyddsteam granskar ofta samma system från olika håll. CISO:n frågar om åtkomst, motståndskraft och riskbehandling är tillräckliga. Dataskyddsombudet ger råd om laglig behandling, enskildas rättigheter, skyddsåtgärder och efterlevnad av dataskyddsreglerna. Arbetet överlappar, men befogenheterna bör inte bli utbytbara.

För ledningen är den praktiska frågan inte bara vem som har vilken titel. Det handlar om vem som tillhandahåller fakta, vem som ger råd, vem som genomför och vem som fattar det ansvariga beslutet. Distinktionerna spelar roll när en produkt lanseras, en leverantör byts ut eller en incident kräver åtgärder innan utredningen är klar.

Ett fungerande upplägg ger båda funktionerna insyn tidigt och bevarar samtidigt dataskyddsombudets oberoende. Det tydliggör också att utnämningen av specialister, internt eller externt, inte flyttar den personuppgiftsansvariges ansvar för beslut om behandling.

Skilj mandaten åt innan ni tilldelar personer

En CISO:s ansvar beror på organisationens styrning. Titeln kan beskriva en chef som leder en säkerhetsfunktion, en specialist som driver ett ledningssystem för informationssäkerhet eller en rådgivare på deltid. En informationssäkerhetssamordnare kan ha ett snävare uppdrag. Definiera mandatet i stället för att anta att titeln avgör det.

Dataskyddsombudet har särskilda lagstadgade uppgifter och skydd enligt artiklarna 37–39 i dataskyddsförordningen (GDPR). Dit hör att informera och ge råd, övervaka efterlevnaden, ge råd om konsekvensbedömningar avseende dataskydd, samarbeta med tillsynsmyndigheten och vara dess kontaktpunkt. Dataskyddsombudet ska rapportera direkt till den högsta förvaltningsnivån och får inte ta emot instruktioner om hur uppgifterna ska utföras.

Säkerhet omfattar mer än personuppgifter. En ransomwareattack som drabbar konstruktionsritningar eller produktionsplanering är en säkerhetsfråga även när inga personuppgifter berörs. Dataskydd omfattar mer än säkerhet: en välskyddad databas kan ändå innehålla uppgifter som samlats in utan tillräcklig rättslig grund eller som sparas i onödan.

Det gemensamma området omfattar de riskbaserade tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i GDPR. Åtkomstkontroller, arrangemang för återställning och tester kan stödja båda funktionerna. Gemensamma underlag är användbara; de gör inte de underliggande bedömningarna identiska.

Fastställ vilka roller organisationen faktiskt behöver

Bedöm kraven på att utse dataskyddsombud separat från personalplaneringen

Ett dataskyddsombud krävs inte automatiskt i varje organisation. Enligt artikel 37 i GDPR krävs ett dataskyddsombud för myndigheter och offentliga organ, med undantag för domstolar i deras dömande verksamhet, och för organisationer vars kärnverksamhet omfattar antingen regelbunden och systematisk övervakning i stor omfattning eller behandling i stor omfattning av särskilda kategorier av personuppgifter eller personuppgifter som rör fällande domar i brottmål och överträdelser.

Reducera inte bedömningen till företagets storlek. En relativt liten organisation kan ha behandlingar som utlöser kravet, medan antalet anställda ensamt inte besvarar frågan enligt GDPR. Nationell rätt kan ställa ytterligare krav på att utse dataskyddsombud. I Tyskland ska ni bedöma de kompletterande nationella reglerna i stället för att enbart förlita er på artikel 37 eller ett tröskelvärde för antal anställda som ni minns.

Spara en dokumenterad bedömning av utnämningskravet som anger de relevanta enheterna, behandlingarna, jurisdiktionerna, skälen till slutsatsen och händelser som skulle utlösa en ny bedömning. En ny övervakningstjänst, ett förvärv eller en övergång till behandling av känsliga uppgifter kan ändra svaret.

Där inget dataskyddsombud krävs ska ansvaret för dataskydd ändå fördelas. Skyldigheterna kring rättslig grund, öppenhet, hantering av rättigheter, säkerhet och ansvarsskyldighet försvinner inte. Var medveten om hur ni använder den formella titeln dataskyddsombud: en frivillig utnämning bör behandlas som en verklig roll som dataskyddsombud, inte bara som en etikett för en administrativ kontaktperson.

Skilj säkerhetsägarskap från ett generellt krav på en CISO

Det finns inget enskilt krav i GDPR på att utse någon med titeln CISO. Andra sektorsspecifika eller nationella regler kan påverka säkerhetsstyrningen, så bedöm dem separat.

ISO/IEC 27001 kräver att ansvar och befogenheter för det avgränsade ISMS:et fördelas; standarden föreskriver ingen universell befattningstitel. Kundavtal kan också kräva en namngiven säkerhetskontakt, definierade ansvarsområden eller vissa säkerhetsunderlag.

För organisationer som omfattas behandlar artiklarna 20–23 i NIS2-direktivet ledningens tillsyn, åtgärder för hantering av cybersäkerhetsrisker och incidentrapportering. NIS2 genomförs genom nationell lagstiftning, och tillämpligheten beror på sektor, storlek, tjänst och regler om inkludering, inte enbart på antalet anställda. För verksamhet i Tyskland, använd BSI:s vägledning om NIS2 tillsammans med tillämplig lagstiftning.

Ledningens beslut är därför tvådelat: fastställ de rättsliga och avtalsmässiga kraven och tillsätt sedan resurser för det säkerhetsarbete som krävs för att driva verksamheten. En befattningstitel utan befogenheter, kapacitet och åtkomst löser inget av problemen.

Pröva intressekonflikter mot faktiska beslutsbefogenheter

Enligt artikel 38.6 i GDPR får ett dataskyddsombud utföra andra uppgifter förutsatt att de inte leder till en intressekonflikt. Att kombinera roller är inte automatiskt förbjudet, men det kräver en saklig bedömning. Den centrala frågan är om personen bestämmer ändamål och medel för behandlingar som hon eller han sedan ska ge oberoende råd om eller övervaka.

Granska de befogenheter som är knutna till den föreslagna utnämningen:

• Kan personen besluta varför uppgifter om anställda eller kunder samlas in?
• Kan personen välja övervakningsverktyg, definiera deras omfattning eller bestämma lagringstider?
• Godkänner personen system eller behandlingsarrangemang, i stället för att bara ge råd?
• Skulle personen övervaka beslut som hon eller han fattat i en annan roll?
• Kan personen lyfta farhågor direkt till ledningen utan motstridiga incitament?

En CISO som godkänner arrangemang för övervakning av anställda har en annan konfliktprofil än en säkerhetsrådgivare som lämnar rekommendationer utan beslutsbefogenheter. Ledande roller inom IT, HR och ledning kräver särskild granskning, men befattningstitlar ensamma utgör inte en fullständig bedömning.

Dokumentera den andra rollens uppgifter, delegerade befogenheter, rapporteringsvägar och skyddsåtgärder. Gör om bedömningen när ansvarsområdena förändras. En ställföreträdare eller oberoende granskare kan bidra till kontinuitet och säkerhet, men avhjälper inte automatiskt en oförenlig utnämning.

Som praktisk rekommendation bör rollerna separeras där säkerhetsfunktionen har betydande befogenheter över behandlingen av personuppgifter. Motivera inte en dubbelroll enbart med att företaget är litet eller att personen åtnjuter förtroende. Förtroende tar inte bort självgranskning eller konkurrerande ansvar.

Externa uppdrag kräver samma granskning. Utkontraktering kan ge oberoende från interna rapporteringsvägar, men konflikter kan ändå uppstå genom överlappande mandat eller leverantörens incitament.

Definiera överlämningar kring återkommande arbete

En ansvarsmatris bör beskriva beslut och resultat, inte bara deltagande. Undvik rader som säger ”säkerhet och dataskydd gemensamt ansvariga” utan att ange vem som ska agera härnäst.

Följande är en praktisk utgångspunkt, inte en lagstadgad fördelning av varje skyldighet:

Produktförändringar: gör den första överlämningen tillräckligt tidigt för att den ska spela roll

För en ny kundplattform bör den ansvariga verksamhetsägaren ange det avsedda ändamålet och besluten om behandlingen. Ta fram en kort förändringsbeskrivning som omfattar uppgiftskategorier, berörda personer, system, leverantörer, åtkomst, lagring och planerat datum för driftsättning. Lägg till en skiss över dataflödet där det gör upplägget lättare att förstå.

Säkerhetsfunktionen bedömer därefter hot och skydd: privilegierad åtkomst, autentisering, segmentering, loggning, säkerhetskopiering och återställning samt de underlag som behövs före release. Dataskyddsspecialister bedömer rättslig grund, öppenhet, minimering, lagring, relationer i behandlingen och om en konsekvensbedömning avseende dataskydd (DPIA) krävs. Enligt artikel 35 i GDPR krävs en DPIA där behandlingen sannolikt leder till en hög risk; samråd med dataskyddsombudet där ett sådant har utsetts.

Överlämningen bör ge uttryckliga slutsatser i stället för separata, oförklarade godkännanden. Dokumentera dataskyddsombudets råd där det är relevant, affärsbeslutet, villkoren för release och ägaren av varje återstående åtgärd. Om ledningen inte följer råden ska resonemanget bevaras och olösta rättsliga farhågor eskaleras. Att verksamheten accepterar en risk kan inte göra olaglig behandling laglig.

Fastställ omprövningsutlösare som nya känsliga uppgifter, övervakning av anställda, ändrade ändamål, väsentligt bredare åtkomst eller en ny leverantör. Det är mer användbart än att kräva identisk dokumentation för varje mindre gränssnittsändring.

Introduktion av leverantörer: skilj säkerhetsgarantier från behandlingens laglighet

Verksamhetsägaren bör identifiera tjänsten, de uppgifter som berörs och vad leverantören faktiskt kommer att göra. Säkerhetsfunktionen bedömer relevanta garantier, åtkomstarrangemang, stöd vid incidenter och motståndskraft. Dataskyddsfunktionen bedömer om leverantören är personuppgiftsbiträde, självständigt personuppgiftsansvarig eller någon annan aktör i behandlingsarrangemanget.

Där artikel 28 är tillämplig måste avtalet innehålla de biträdesvillkor som krävs. Internationella överföringar kräver en separat bedömning; ett personuppgiftsbiträdesavtal eller en önskad lagringsplats avgör inte den frågan.

Kom överens om vem som tar fram saknade underlag och vem som förhandlar avtalsändringar. Ett vanligt misstag är att behandla säkerhetsenkäten som hela granskningen och lämna roller i behandlingen, underbiträden, radering och överföringar outredda. Ett annat är att förhandla dataskyddsvillkor utan att förstå leverantörens verkliga tekniska åtkomst.

Resultatet bör ange vilken tjänst och konfiguration som bedömts, accepterade villkor, öppna frågor och utlösare för ny bedömning. Väsentliga förändringar av åtkomst, underbiträden eller behandlingsplatser bör nå båda funktionerna.

Incidenter: utbyt fakta innan visshet finns

Vid en misstänkt personuppgiftsincident utreder säkerhetsfunktionen medan dataskyddsfunktionen bedömer konsekvenserna för berörda personer och frågan om anmälan. Inget av teamen bör vänta på en färdig rapport innan relevant information delas.

En första överlämning bör ange vad som hände, när det upptäcktes, vilka system och uppgifter som kan vara berörda, om konfidentialitet, integritet eller tillgänglighet påverkades, vilken begränsning som har skett och vad som fortfarande är okänt. Utse någon som håller tidslinjen uppdaterad och informerar båda funktionerna när fakta förändras.

Enligt artikel 33 i GDPR ska en personuppgiftsansvarig anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått vetskap om den, om det inte är osannolikt att incidenten medför en risk för människors rättigheter och friheter. Ett personuppgiftsbiträde ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål. Dokumentera bedömningen av när vetskap uppstod; anta inte att varje första larm startar den lagstadgade klockan eller att full forensisk visshet krävs innan ni agerar.

Artikel 34 kan kräva information till berörda personer när det finns en hög risk, med förbehåll för undantagen i artikeln. Kom överens om vem som samordnar tidsfrister, förbereder anmälningar, godkänner kommunikation och sparar underlagen. Dokumentera personuppgiftsincidenter, inklusive resonemanget när en anmälan bedöms onödig. Saknade fakta kan kräva en anmälan i etapper snarare än tystnad medan utredningen pågår.

För en incident som berör en verksamhetsutövare som omfattas ska ni parallellt bedöma om den når den tillämpliga tröskeln för rapportering av betydande incidenter enligt NIS2. Direktivet föreskriver en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och i regel en slutrapport inom en månad från anmälan; kontrollera nationella och sektorsspecifika regler. Det är andra utlösare och andra mottagare än enligt GDPR, inte en och samma utbytbara rapporteringsprocess.

Begäranden om rättigheter: håll det operativa stödet åtskilt från ansvaret för svaret

Begäranden om rättigheter kräver ofta stöd från säkerhet och IT för att proportionerligt kontrollera identitet, lokalisera information, skydda tredje mans uppgifter och leverera ett svar säkert. Dataskyddsfunktionen samordnar den rättsliga bedömningen, med råd från dataskyddsombudet där det är lämpligt. Den personuppgiftsansvarige är fortfarande ansvarig för att svara.

Enligt artikel 12 i GDPR är den vanliga svarstiden en månad. En förlängning med ytterligare två månader kan vara möjlig om det är nödvändigt, med besked och skäl inom den första månaden. Begäranden är i regel kostnadsfria, med begränsade villkor för avgifter eller vägran.

Dokumentera vem som äger tidsfristen, vilka system som måste genomsökas och vem som godkänner utlämnandet. Kräv inte överdrivna identitetshandlingar som standard, och låt inte en teknisk export bli ett ogranskat svar. En gemensam operativ process kan koppla dataskyddsfunktionens bedömning till de sökningar och leveranskontroller som beskrivs i hantering av begäranden om registerutdrag.

Välj intern eller extern utnämning utifrån förmåga och åtkomst

Artikel 37.6 i GDPR tillåter uttryckligen att rollen som dataskyddsombud fullgörs av en anställd eller genom ett tjänsteavtal. Säkerhetsledning kan också anskaffas externt som ett organisatoriskt arrangemang, med förbehåll för tillämpliga krav och ett tydligt mandat.

Ett internt dataskyddsombud kan ha djup förståelse för verksamheten och nära tillgång till kollegor. Organisationen måste ändå tillhandahålla expertis, resurser, skyddad tid, oberoende och ersättare. Ett externt dataskyddsombud kan bidra med specialisterfarenhet och extra kapacitet, men behöver en tillförlitlig väg in i produktförändringar, avtal, bedömningar och incidenter. Ingen av modellerna fungerar om dataskyddsombudet får höra om beslut först efter att de genomförts.

Jämför de totala driftbehoven, inte bara lön mot arvode. Ta hänsyn till utbildning, specialistrådgivning, ersättare vid frånvaro, samordningstid, projekttoppar och avgifter för arbete utanför uppdraget. Det finns ingen pålitlig allmän regel om att extern lösning är billigare.

För externa uppdrag, kom överens om:

• Namngivna kontaktpersoner, ersättare, eskaleringsvägar och tillgång till den högsta förvaltningsnivån.
• Vilka granskningar, möten, utbildningar och vilket incidentstöd som ingår.
• Svarsarrangemang anpassade till brådskande och rutinmässigt arbete.
• Hur information, råd och beslut dokumenteras och sparas.
• Sekretess, åtkomstgränser, hantering av konflikter och arrangemang vid avslut.

Om en leverantör tillhandahåller båda funktionerna, granska vem som utför respektive mandat och hur konflikter hanteras. Olika namn i en offert räcker inte om samma person styr och granskar besluten om behandling.

Utse en intern samordnare med befogenhet att inhämta information och driva på genomförandet. Externa specialister kan inte bedöma system som inte redovisats eller verkställa åtgärder som ingen internt äger. Ledningen behåller besluten om budget och affärsprioriteringar, och den personuppgiftsansvarige behåller ansvarsskyldigheten enligt artikel 24 i GDPR.

Anpassa upplägget efter arbetsbelastningen

För en mindre organisation utan skyldighet att utse dataskyddsombud kan en namngiven dataskyddsansvarig och en säkerhetsansvarig vara lämpligt, med specialistrådgivning tillgänglig för svåra frågor. Det skiljer sig från att formellt utse någon till dataskyddsombud.

Där ett dataskyddsombud krävs men interna kandidater har motstridiga operativa befogenheter är en extern utnämning värd att överväga. Kombinera den med internt ägarskap för genomförandet i stället för att förvänta sig att leverantören driver varje dataskyddsuppgift.

Där kunders krav på säkerhetsgarantier förutsätter att ett ISMS byggs upp och den interna säkerhetserfarenheten är begränsad kan extern säkerhetsledning stödja det inledande arbetet. Bestäm vem som ska förvalta riskbedömningar, underlag och rapportering till ledningen efteråt; ett projektuppdrag bör inte lämna en lucka i ägarskapet när det avslutas.

En etablerad organisation kan bära båda funktionerna internt, förutsatt att den skyddar dataskyddsombudets oberoende och avsätter tillräcklig kapacitet. Beslutet bör följa faktisk arbetsbelastning, kompetens och befogenheter, inte ett antagande om att internt alltid är bättre eller externt alltid enklare.

Exempel: en tillverkare som förbereder en kundportal

Tänk dig en tillverkare med 200 anställda, ett litet IT-team och en planerad portal för kundsupport och maskinunderhåll. Anta att portalen kommer att innehålla kunders kontaktuppgifter, servicehistorik och register över teknikers aktiviteter. Kunderna efterfrågar också dokumenterad säkerhetsstyrning. Detta är hypotetiska fakta, inte en rättslig slutsats om varje tillverkare av den storleken.

Ledningen beställer först separata bedömningar av kraven på att utse dataskyddsombud och av tillämpligheten för sektorsspecifik cybersäkerhetsreglering. Den drar inga slutsatser om NIS2-omfattning enbart utifrån antalet anställda. Den granskar också IT-chefens befintliga utnämning till dataskyddsombud, eftersom IT-chefen väljer system och godkänner driften av dem.

Efter att ha bedömt konflikter och kapacitet utser företaget ett externt dataskyddsombud och en säkerhetsansvarig på deltid. IT-chefen äger den tekniska leveransen, servicechefen äger portalens ändamål med behandlingen och affärskraven, och en intern samordnare förvaltar åtgärdsregistret. Vd:n är sponsor för besluten och avgör resurskonflikter.

Under utformningen rekommenderar säkerhetsfunktionen detaljerad aktivitetsloggning för att kunna utreda missbruk. Dataskyddsfunktionen konstaterar att loggarna också avslöjar teknikernas beteende. Servicechefen förklarar det operativa behovet; säkerhetsfunktionen föreslår begränsad åtkomst och en definierad användning för utredningar; dataskyddsfunktionen bedömer nödvändighet, öppenhet och lagring. Dataskyddsombudets råd dokumenteras innan den ansvariga ägaren beslutar om konfigurationen. Dataskyddsombudet godkänner inte loggningsdesignen i ledningens ställe.

Lanseringsdokumentationen innehåller beskrivningen av dataflödet, leverantörsbedömningen, säkerhetsslutsatserna, resultatet av DPIA-screeningen, dataskyddsåtgärderna och de accepterade villkoren för release. Varje olöst åtgärd har en ägare och ett förfallodatum.

Ledningen genomför därefter en skrivbordsövning med ett komprometterat portalkonto. Säkerhetsfunktionen tar fram ett första faktapaket; dataskyddsfunktionen utvärderar möjlig skada; samordnaren bevakar tidsfrister för bedömningar; och den behöriga chefen hanterar kommunikationen. Övningen visar att det externa dataskyddsombudets kontaktuppgifter för nödsituationer saknades i incidentrutinen. Att rätta den lilla luckan gör överlämningen användbar under press.

Gör samarbetet granskningsbart utan att dela allt

Ge oenigheter en namngiven eskaleringsväg. Tekniska avvägningar kan gå till tjänsteägaren och den verkställande sponsorn; olösta farhågor om efterlevnad bör nå den högsta förvaltningsnivån via dataskyddsombudets oberoende rapporteringsväg. Bevara avvikande uppfattningar i stället för att skriva om dokumentationen så att den antyder enighet.

Dela bara den information varje roll behöver, särskilt vid känsliga utredningar. Dataskyddsombudet ska ha tillgång till relevant information om behandlingen enligt artikel 38 i GDPR, men det motiverar inte att råa personaluppgifter eller forensiskt material sprids till varje projektdeltagare. Använd åtkomstgränser och lämpligt maskerade sammanfattningar utan att hålla inne fakta som är nödvändiga för bedömningen.

Ledningen bör följa några operativa signaler: förändringar som genomförts före samråd, åtgärder som är försenade efter rådgivning, incidenter med sen tvärfunktionell eskalering och återkommande osäkerhet om beslutsbefogenheter. De visar brister i styrningen tydligare än att räkna policyer eller möten.

En praktisk genomgång i ledningen bör avslutas med beslut, inte bara uppdaterade rapporter. Om bedömningar gång på gång kommer in för sent, ändra utlösaren för projektintaget. Om åtgärder förblir öppna för att teamen saknar kapacitet, tilldela resurser eller revidera leveransplanen. Om ingen kan identifiera beslutsfattaren, rätta delegeringen innan ytterligare en release godkänns.

Håll den resulterande dokumentationen kompakt: frågan, relevanta råd från säkerhet och dataskydd, det ansvariga beslutet, dess motivering, åtgärdsägare och ett datum för omprövning. Skilj en lucka i underlagen från en införd kontroll som har fallerat. De kräver olika uppföljning, även när båda visas som en öppen uppgift.

Frågor som ledningen bör avgöra uttryckligen

Måste dataskyddsombudet godkänna varje lansering?

GDPR definierar en rådgivande och övervakande roll, inte ett generellt krav på att dataskyddsombudet ska godkänna releaser. En organisation kan införa samrådspunkter, men bör skilja samrådet från verksamhetsägarens befogenhet att lansera. Ett genomfört samråd visar inte heller att behandlingen är laglig.

Kan säkerhetsunderlag räcka för dataskyddsgranskningar?

De kan stödja dem. Dokumentation från åtkomstgranskningar eller återställningstester kan ge underlag för en bedömning enligt artikel 32. De fastställer inte en rättslig grund, tillräcklig öppenhet eller en motiverad lagringstid. Identifiera vilket påstående varje underlag styrker i stället för att behandla ett paket med underlag som ett godkännande för allt.

Börja med två processer och ett litet spår av underlag

Börja med produktförändringar och incidenthantering. Namnge för varje process ägaren av intaget, den information som krävs, omprövningsutlösare, beslutsbefogenheter, eskaleringsväg och ersättararrangemang. Testa båda med realistiska fall innan matrisen utökas.

Secani kopplar ihop krav, underlag, ägare, uppgifter och granskningsbeslut i ett gemensamt sammanhang. För en fokuserad tjänsteomfattning kan team modellera de stödjande systemen och leverantörerna, koppla underlag till de krav eller beslut de stöder och omvandla obesvarade granskningsfrågor till tilldelat arbete. Planera åtkomstgränser för interna och externa bidragsgivare; den dokumenterade OSCAL API-rollen ger endast åtkomst för validering. Håll den mänskliga granskningen av AI-stödda förslag uttrycklig och bevara källor, kommentarer, godkännanden och tidsstämplar.

Det praktiska nästa steget är ett gemensamt möte med verksamhetsägaren, den säkerhetsansvarige, dataskyddsteamet och dataskyddsombudet. Gå igenom en kommande förändring och en trovärdig incident genom de föreslagna överlämningarna. Där gruppen inte kan identifiera vem som agerar härnäst ska processen förbättras före nästa brådskande fall.