Auditkriterierne er den målestok, auditor holder beviset op imod. Når ingen lov fastlægger målestokken, vælger I den selv: jeres egen politik og risikovurdering, et anerkendt rammeværk, en kundes krav eller myndighedernes råd. Valget skal stå i opdraget, før auditten begynder, ellers vælger auditor for jer.
Kriterierne er det, der adskiller en audit fra en mening. Uden dem kan auditor kun sige, hvad han synes. Med dem kan han vise, hvilket krav der er opfyldt, og hvilket der ikke er. Artiklen gennemgår mulighederne og de faldgruber, der følger med hver.
Hvorfor kriterierne kommer først
Den internationale definition af en audit, gengivet i NIST’s ordliste, beskriver processen som indsamling og objektiv vurdering af bevis for at fastslå, i hvor høj grad kriterierne er opfyldt. Kriterierne er altså en del af selve begrebet.
Sikkerdigital.dk siger i sin vejledning om audit, at målestokken skal være konkret. Brede vendinger om god praksis eller et tilstrækkeligt niveau kan ikke bruges. Kravene skal være skrevet ind i politikker, procedurer, aftaler eller kontrolbeskrivelser. Vejledningen nævner også, at auditplanen bør forholde sig til mål, omfang, metode og kriterier. Kriterierne bør derfor ligge fast, når planen laves.
Mulighederne
Jeres egen politik og risikovurdering. Det mest præcise kriterium er det, virksomheden selv har besluttet. Auditten svarer så på, om I gør, hvad I har sagt. Det forudsætter, at politikken er konkret, godkendt og opdateret. Er den ikke det, bliver det første fund. Se risikovurdering af IT i en mindre virksomhed.
Et anerkendt rammeværk. Rammeværk som CIS Controls eller ISO/IEC 27001 giver en færdig liste over krav og gør resultatet sammenligneligt over tid. For den mindre virksomhed er CIS Controls og implementeringsgruppe 1 en mulighed. Rammeværket skal tilpasses, så kravene passer til virksomheden.
En kundes krav. Hvis en vigtig kunde har stillet sikkerhedskrav i kontrakten, er de et oplagt kriterium. Auditten viser så, om kravene er opfyldt, og giver grundlag for at svare kunden. Kriterier for en audit af en leverandør set fra kunden er emnet for kriterier i en leverandøraudit.
Myndighedernes råd. Styrelsen for Samfundssikkerhed har ni nationale råd til virksomheder med færre end 50 ansatte uden IT-sikkerhedsansvarlig. Datatilsynet har råd om sikkerhed for små virksomheder. De er skrevet til den mindre virksomhed og egner sig som kriterier i et IT-sikkerhedstjek. Til den større virksomhed findes “Cyberforsvar der virker”, 4. udgave fra juli 2023, nu udgivet af Styrelsen for Samfundssikkerhed. Den beskriver seks trin fra ledelsens rolle til at finde huller i forsvaret og kan bruges som kriterium for, om de grundlæggende tiltag er på plads. Den er en vejledning, ikke et krav.
En lov, I frivilligt måler jer mod. NIS 2-lovens § 6 og databeskyttelsesforordningens artikel 32 kan bruges som målestok uden for lovens område. For en virksomhed uden for NIS 2-loven er det et frivilligt valg. Se lige under NIS2-grænsen.
Når kriterier er lavet til et andet formål
Den internationale standard for erklæringer, ISAE 3000, gør opmærksom på, at kriterier, der er lavet til et bestemt formål, fx af en myndighed, kan være uegnede til andre formål. Standarden handler om erklæringer, men pointen holder som en analogi for enhver audit.
Et tænkt eksempel: en virksomhed bruger en tjekliste, der er lavet til en bestemt branche, men har selv en helt anden forretning. Auditten viser fine resultater mod tjeklisten, men overser det, der er vigtigt for netop den virksomhed. Spørg derfor altid, hvem kriterierne er skrevet til, og hvad de ikke dækker.
Kombinationer
Mange vælger en kombination: et rammeværk som struktur, egen politik som det konkrete indhold og kundens krav som tillæg. Det er en god løsning, så længe opdraget siger, hvilket kriterium der vejer tungest, hvis de modsiger hinanden. Forskellen på at måle mod regler og at måle mod risiko står i compliance-audit eller risikoaudit.
Kriterier i opdraget
Opdraget bør nævne kriterierne ved navn, med version og dato, og sige, hvilke dele der indgår. Hvis I bruger et rammeværk, skriv hvilke kontroller eller afsnit der er med. Hvis I bruger jeres egen politik, vedlæg den. Formen er beskrevet i opdraget på én side.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ledelsen og den, der ejer sikkerheden, bliver enige om målestokken, og at de dokumenter, der skal bruges som kriterier, er godkendt. Har I en opdateret politik, er det et kort møde. Har I ikke, kan det tage nogle uger at få et brugbart grundlag på plads.
Uden faste kriterier vælger auditor selv, og to auditorer vil vælge forskelligt. Rapporten bliver svær at sammenligne med den næste og svær at forsvare over for en kunde eller bestyrelse, der spørger, hvad der egentlig er målt.
Det skal I lade være med
- At bede om en audit uden at nævne kriterierne · auditor vælger så målestokken.
- At bruge en skabelon som politik uden at tilpasse den · kriteriet passer ikke til jer.
- At bruge et rammeværk skrevet til andre uden at spørge hvorfor · det kan overse det, der betyder noget.
Det skal auditten kunne vise
- ☐ Hvilke kriterier der er brugt, med navn, version og dato.
- ☐ Hvilke dele af et rammeværk der indgik, og hvilke der ikke gjorde.
- ☐ Hvilket kriterium der vejede tungest, hvis de var i konflikt.
- ☐ At kriterierne var aftalt, før auditten begyndte.
Kilder
- Styrelsen for Samfundssikkerhed, “Cyberforsvar der virker”, 4. udgave, juli 2023, https://samsik.dk/publikationer/cyberforsvar-der-virker/, læst 12. november 2026.
- NIST, Computer Security Resource Center, Glossary, “audit”, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- IAASB, ISAE 3000 (Revised), A166, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
- Sikkerdigital.dk, Råd om digital sikkerhed, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
- Datatilsynet, GDPR-univers for små virksomheder, Trin 6, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tjeklister i en audit · Afgrænsning af en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
