Bogføringsloven kræver, at et digitalt bogføringssystem opfylder anerkendte standarder for IT-sikkerhed, herunder for bruger- og adgangsstyring, og sikrer automatisk sikkerhedskopiering af registreringer og bilag. Bruger virksomheden et system, der ikke er registreret hos Erhvervsstyrelsen, stiller en bekendtgørelse fra 2024 mere konkrete krav, bl.a. om ugentlig sikkerhedskopi hos en ikke nærtstående part.
Det er krav, en sikkerhedsaudit kan efterprøve med bevis. Artiklen gennemgår lovens og bekendtgørelsernes ordlyd, forenklet gengivet, og hvordan en audit bruger dem.
Lovens krav til systemet
Bogføringsloven er lov nr. 700 af 24. maj 2022. Efter § 15, stk. 1, skal et digitalt bogføringssystem bl.a. opfylde anerkendte standarder for IT-sikkerhed, herunder for bruger- og adgangsstyring, og sikre automatisk sikkerhedskopiering af registreringer og bilag. Systemet skal også understøtte opbevaring af registreringer og bilag i 5 år. Erhvervsstyrelsen fastsætter nærmere regler (stk. 2).
§ 16 bestemmer, at visse bogføringspligtige virksomheder skal registrere transaktioner og opbevare registreringer og bilag i et digitalt bogføringssystem. Systemet skal enten være registreret hos Erhvervsstyrelsen efter § 20 eller opfylde kravene i § 15. Hvilke virksomheder § 16 omfatter, afhænger af en tærskel i loven, som vi ikke gengiver her.
Derudover skal visse virksomheder efter § 6 beskrive procedurer for løbende registrering og betryggende opbevaring og hvem der er ansvarlige. Efter § 12 opbevares materialet på betryggende vis i 5 år.
Vi har læst loven, som den blev vedtaget. En konsolideret udgave med senere ændringer har vi ikke kontrolleret.
Hvornår kravene gælder
Efter § 34 træder bl.a. §§ 15-17 i kraft på et tidspunkt, erhvervsministeren fastsætter. Bekendtgørelse nr. 1342 af 24. november 2023 sætter § 16, stk. 1 og 2, i kraft for virksomheder, der er bogføringspligtige og har pligt til at aflægge årsrapport efter årsregnskabslovens § 3, stk. 1. Det sker for det førstkommende regnskabsår, der starter fra og med
- 1. juli 2024, hvis virksomheden bruger et registreret standard bogføringssystem, og
- 1. januar 2025, hvis virksomheden bruger et system, der ikke er registreret.
Retsinformation viser bekendtgørelsen som gældende den 12. november 2026. Den har en henvisning til årsregnskabsloven, som er bekendtgjort på ny i marts 2026. Om det ændrer noget for datoerne, har vi ikke undersøgt.
Kravene til et system, der ikke er registreret
Bekendtgørelse nr. 205 af 29. februar 2024 gælder virksomheder, der er omfattet af § 16, stk. 1, og bruger et system, der ikke er registreret. Den gælder kun de funktioner, der vedrører bogføringen. Forenklet gengivet kræver den bl.a.:
- Felter og spor (§ 3). Systemet skal tildele hver bogført transaktion en registreringsdato, et fortløbende nummer og initialer eller lignende på den person eller det program, der bogførte. Ændringer skal gemmes, og brugerne må ikke kunne ændre, tilbagedatere eller slette bogførte transaktioner.
- Sikkerhedskopi (§ 4). Virksomheden tager mindst ugentligt en fuld sikkerhedskopi af bogførte transaktioner og bilag, medmindre der ikke er bogført noget siden sidst. Kopien opbevares hos en ikke nærtstående part, som må formodes at opfylde anerkendte standarder for IT-sikkerhed, på en server i et EU- eller EØS-land.
- Data og afstemning (§ 5). Systemet skal bl.a. kunne sende og modtage elektroniske fakturaer i bestemte formater, generere en SAF-T-fil og understøtte afstemning med bankkontoen.
Overtrædelse af §§ 3-5 straffes med bøde (§ 6). Bekendtgørelse nr. 303 af 20. marts 2025 ændrede undtagelsen i § 4, stk. 3, for virksomheder i den finansielle sektor og deres datterselskaber med virkning fra 1. januar 2026.
Registrerede standardsystemer
Bruger I et registreret standard bogføringssystem, er systemet anmeldt og registreret hos Erhvervsstyrelsen. Til standardsystemer findes en særskilt bekendtgørelse om krav til digitale standard bogføringssystemer, nr. 97 af 2023. Den er ændret to gange i efteråret 2026. Vi har ikke læst kravene i den og beskriver dem ikke.
Det, en audit kan efterprøve
Det følgende er praksis. Kravene ovenfor kan bruges som auditkriterier. For hvert krav spørger auditten, hvilket bevis der viser, at det er opfyldt:
- Adgangsstyring. En liste over brugere med rettigheder, og bevis for, at listen er gennemgået. Se audit af adgangsstyringen.
- Ændringsspor. En stikprøve på, at en bogført transaktion ikke kan slettes, og at rettelser sker med nye posteringer.
- Sikkerhedskopi. Logs, der viser ugentlige kopier, hvor kopien ligger, hvem der driver stedet, og en gendannelsestest. Se audit af backup og gendannelse.
- Procedurer. Den beskrivelse, § 6 kræver af visse virksomheder, med navne på de ansvarlige.
Hvad “anerkendte standarder for IT-sikkerhed” betyder i jeres tilfælde, siger loven ikke. En audit kan vise, hvilken målestok I har valgt, men kan ikke afgøre, om den opfylder lovens krav. Hvordan auditkriterier vælges uden et præcist lovkrav, står i auditkriterier.
Hvad det kræver, og hvad det koster at lade være
En gennemgang kræver adgang til bogføringssystemet, logs fra sikkerhedskopieringen og den person, der administrerer systemet. Arbejdet afhænger af, om systemet er registreret, eller om virksomheden selv står for kravene.
Er sikkerhedskopien aldrig gendannet, ved ingen, om den virker. Og et system, hvor bogførte posteringer kan slettes, opfylder ikke bekendtgørelsens krav, hvis den gælder for jer.
Det skal I lade være med
- At gå ud fra, at udbyderen har styr på det hele · for et ikke-registreret system retter bekendtgørelsens krav sig til virksomheden.
- At gemme sikkerhedskopien hos en nærtstående part · bekendtgørelsen kræver en ikke nærtstående.
- At regne en kopi for gyldig uden gendannelsestest · den skal kunne bruges.
Det skal auditten kunne vise
- ☐ Om systemet er registreret hos Erhvervsstyrelsen, og hvilke regler der derfor gælder.
- ☐ Brugere og rettigheder i bogføringssystemet med dato for seneste gennemgang.
- ☐ Ugentlige sikkerhedskopier, deres placering og en gendannelsestest.
- ☐ Beskrivelsen af procedurer og ansvarlige efter lovens § 6, hvis den gælder.
Kilder
- Lov nr. 700 af 24. maj 2022 om bogføring, §§ 6, 12, 15, 16 og 34, https://www.retsinformation.dk/eli/lta/2022/700, læst 12. november 2026.
- Bekendtgørelse nr. 1342 af 24. november 2023 om ikrafttræden af bestemmelser i lov om bogføring vedrørende pligt til digital bogføring, https://www.retsinformation.dk/eli/lta/2023/1342, læst 12. november 2026.
- Bekendtgørelse nr. 205 af 29. februar 2024 om krav til virksomheders digitale bogføringssystemer der ikke er registreret efter bogføringsloven, https://www.retsinformation.dk/eli/lta/2024/205, læst 12. november 2026.
- Bekendtgørelse nr. 303 af 20. marts 2025 om ændring af bekendtgørelse nr. 205, https://www.retsinformation.dk/eli/lta/2025/303, læst 12. november 2026.
- Bekendtgørelse nr. 97 af 2023 om krav til digitale standard bogføringssystemer (kun metadata), https://www.retsinformation.dk/eli/lta/2023/97, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Logs og ændringsspor som bevis · Stikprøver i audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
