D-mærket viser omverdenen, at virksomheden lever op til mærkets kriterier for IT-sikkerhed og ansvarlig brug af data, og det kontrolleres ved et tilsyn. En sikkerhedsaudit måler mod de kriterier og risici, I selv vælger, og giver ledelsen en rapport med fund. Mærket er et signal udadtil, auditten er et redskab indadtil, og de kan godt bruges sammen.
Senest læst 12. november 2026 på D-mærkets egne sider, som felterne bygger på.
Valget dukker op i den mindre og mellemstore virksomhed, der vil vise kunder og samarbejdspartnere, at sikkerheden er i orden. Nogle tror, at mærket alene bygger på virksomhedens egne svar, men der er også et tilsyn. Artiklen beskriver mærket i sitets faste felter og viser, hvor en audit giver noget andet.
D-mærket i faste felter
Udgiver. D-mærket, den danske mærkningsordning for IT-sikkerhed og ansvarlig dataanvendelse.
Version og dato. Kriterierne er læst på D-mærkets side 12. november 2026. En versionsbetegnelse eller dato for kriteriesættet er ikke oplyst på de sider, vi har læst.
Hvad den måler. Otte kriterier: 1 styring og forankring i ledelsen, 2 awareness og sikker adfærd, 3 teknisk IT-sikkerhed, 4 krav til leverandørers IT-sikkerhed og ansvarlig dataanvendelse, 5 transparens og kontrol med data, 6 privacy og security by design and default, 7 pålidelige algoritmer og AI, 8 dataetik. Alle virksomheder skal som minimum leve op til kriterium 1 til 5. Om 6 til 8 gælder, afhænger af virksomhedens aktiviteter og gruppe.
Hvem den er skrevet til. Både små og store virksomheder. D-mærket placerer dem i en af fire grupper, I til IV, ud fra hvor store og komplekse de er, og hvor høj risikoen er. Softwareleverandører kan blive løftet fra gruppe I eller II til gruppe III.
Hvad den ikke dækker. Det er vores tolkning, at mærket måler efterlevelse af mærkets egne kriterier. Det tager ikke udgangspunkt i den enkelte virksomheds særlige risici og giver ikke en rapport til ledelsen om, hvor svaghederne ligger.
Brug som auditkriterium. Kriterierne kan bruges som struktur i en audit, ligesom andre rammeværk. Se auditkriterier.
Sådan foregår mærkningen
Processen har tre trin ifølge D-mærkets egen beskrivelse. Først en selvevaluering. Derefter skal de minimumskrav, der er markeret med “M”, være opfyldt, før virksomheden kan anmode om tilsyn. Ved tilsynet gennemgår D-mærkets auditorer den dokumentation, virksomheden har uploadet, og vurderer, om kriterierne er efterlevet. Mærket gælder et år, og tilsynet gentages hvert år.
Mærket er altså mere end en egen erklæring. Der er en kontrol af dokumentationen ved en ekstern part. Hvordan en kunde læser et D-mærke hos sin leverandør, er beskrevet på sitet om leverandørens dokumentation set fra kunden.
Hvad en sikkerhedsaudit tilføjer
En sikkerhedsaudit kan måle mod jeres egen risikovurdering og jeres egne politikker ved siden af et fælles kriteriesæt. Den kan gå i dybden med de områder, hvor risikoen er størst, og bruge interviews, udtræk og stikprøver ud over dokumentgennemgang. Og den ender i en rapport, der beskriver fund og anbefalinger for netop jer.
Det gør auditten til et redskab for ledelsen. Mærket fortæller kunden, at et vist niveau er nået. Auditten fortæller ledelsen, hvor der skal sættes ind.
Tre tænkte situationer
- En mindre virksomhed vil kunne vise kunder, at den tager sikkerhed og data alvorligt. Mærket passer til formålet.
- En virksomhed har mærket, men bestyrelsen vil vide, om de vigtigste risici er dækket. En audit giver svaret.
- En virksomhed overvejer mærket, men er usikker på, om den kan opfylde minimumskravene. En audit eller et IT-sikkerhedstjek før selvevalueringen kan vise hullerne.
Sammen
Mange kan få gavn af begge dele. En audit forud for mærket kan bruge D-mærkets kriterier som struktur og samtidig se på de risici, der er særlige for virksomheden. Den dokumentation, auditten samler, kan genbruges, når mærket skal søges. Hvordan større virksomheder bruger mærket ved siden af andre rammer, er beskrevet under mærkning og modenhed i større virksomheder.
Hvad det kræver, og hvad det koster at lade være
Mærket kræver en selvevaluering, dokumentation for kriterierne og et årligt tilsyn. En audit forudsætter et skriftligt opdrag, læseadgang og timer fra dem, der ejer områderne. Begge forudsætter, at ledelsen har taget stilling til, hvordan sikkerheden styres.
Vælger I mærket uden at kende jeres svagheder, kan I bruge kræfter på at opfylde kriterier, der ikke rammer jeres største risiko. Vælger I kun en audit, har I måske et godt billede indadtil, men intet, der umiddelbart kan vises til en kunde.
Det skal I lade være med
- At kalde mærket en selvevaluering · der er tilsyn med dokumentationen.
- At bruge mærket som svar til en bestyrelse, der spørger om jeres risici · mærket måler mod sine egne kriterier.
- At starte selvevalueringen uden at kende hullerne · minimumskravene skal være opfyldt før tilsynet.
Det skal auditten kunne vise
- ☐ Hvilke af mærkets kriterier der er brugt som struktur, og hvilke egne kriterier der er lagt til.
- ☐ Minimumskrav, der ikke er opfyldt, med bevis.
- ☐ Fund, der ligger uden for mærkets kriterier, men har betydning for virksomhedens risiko.
- ☐ Dokumentation, der kan genbruges ved selvevalueringen.
Kilder
- D-mærket, Kriterier, https://d-maerket.dk/da/bliv-d-maerket/kriterier, læst 12. november 2026.
- D-mærket, Virksomhedsgrupper, https://d-maerket.dk/da/bliv-d-maerket/virksomhedsgrupper, læst 12. november 2026.
- D-mærket, Proces, https://d-maerket.dk/da/bliv-d-maerket/proces, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tjeklister i en audit · Kunden kræver dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
