Datatilsynets råd om sikkerhed til små virksomheder kan bruges som kriterier i et IT-sikkerhedstjek, når virksomheden behandler personoplysninger og vil måles mod noget, en myndighed har formuleret. Rådene er korte og praktiske. De dækker de basale forhold, men de er skrevet med persondata for øje og dækker ikke al IT-sikkerhed.
Det er nærliggende at lede efter en særskilt vejledning fra Datatilsynet om sikkerhed i små virksomheder. Den findes ikke som selvstændig publikation. Rådene står i Datatilsynets “GDPR-univers for små virksomheder” som trin 6 om sikkerhed. Artiklen beskriver dem i samme felter, som sitet bruger for alle rammer og ordninger.
Rådene beskrevet
Udgiver. Datatilsynet.
Version og dato. Siden er en del af GDPR-universet for små virksomheder. Den har ingen dato. Den blev læst 12. november 2026.
Hvad rådene handler om. Trin 6 råder til at tage fat i de enheder først, hvor de mest beskyttelseskrævende persondata håndteres. Derefter gengiver siden syv råd fra SikkerDigital:
- overblik over data og systemer
- opdatering
- antivirus og firewall
- backup, med den tilføjelse, at en løs harddisk ikke regnes for beskyttet mod angreb
- evnen til at spotte mistænkelige mails
- stærke adgangskoder og to-faktor-login på alt, der kan tilgås fra internettet
- sikkerhedskrav til IT-leverandører.
Siden giver desuden lavpraktiske råd om sikker wifi, skærmlås, distancearbejde, kryptering af lagringsmedier, bortskaffelse af udstyr, adgang efter arbejdsbetinget behov og lukning af adgang ved fratræden, hvor længe oplysninger opbevares, og sikker forsendelse. Datatilsynet skriver, at det ikke stiller krav om bestemte IT-løsninger. Ansvaret for at stille krav til en ekstern driftsleverandør bliver ifølge siden hos virksomheden.
Hvem rådene er skrevet til. Små virksomheder, der behandler personoplysninger.
Hvad rådene ikke dækker. Det er en fortolkning, at rådene handler om persondata efter databeskyttelsesforordningen. Driftssikkerhed for systemer uden persondata, fx et produktionsanlæg, er ikke emnet, og det er NIS 2 heller ikke. Siden er heller ikke en udtømmende liste over Datatilsynets forventninger. Datatilsynet har et separat katalog over foranstaltninger, som går mere i detaljer.
Brug som auditkriterium. Rådene kan bruges som kriterier i et tjek af en mindre virksomhed, der behandler personoplysninger. Hvert råd kan omsættes til et spørgsmål og et bevis.
Syv råd eller ni
Datatilsynets side henviser til syv råd fra SikkerDigital. På sikkerdigital.dk står i dag Styrelsen for Samfundssikkerheds ni råd. Ud over overblik, opdatering, login og backup omfatter de adgangsrettigheder, sikkerhedsværktøjer, arbejde hjemmefra, medarbejdernes årvågenhed og et beredskab. De ni er tiltænkt virksomheder uden IT-sikkerhedsansvarlig og tager ikke højde for særlig regulering.
De to lister overlapper i høj grad. De ni råd tilføjer bl.a. adgangsrettigheder og beredskab som selvstændige punkter. Bruges Datatilsynets side som tjekliste, er det en god idé at lægge de ni råd ved siden af, så intet falder ud. Skriv i opdraget, hvilken liste der er brugt.
Fra råd til spørgsmål og bevis
Et eksempel på, hvordan rådene kan omsættes. Opstillingen er praksis.
- Overblik over data og systemer · Spørgsmål i tjekket: Findes der en liste, og er den rigtig? · Bevis: Listen sammenholdt med det, tjekket finder
- Backup · Spørgsmål i tjekket: Er kopien beskyttet, og er den prøvet? · Bevis: Opsætning og dato for seneste gendannelse
- To-faktor-login · Spørgsmål i tjekket: Er det slået til på alt, der kan nås fra internettet? · Bevis: Oversigt over konti og undtagelser
- Krav til leverandører · Spørgsmål i tjekket: Hvad står der om sikkerhed i aftalen? · Bevis: Aftalen og leverandørens svar
- Lukning ved fratræden · Spørgsmål i tjekket: Er tidligere medarbejderes adgang lukket? · Bevis: Brugerliste sammenholdt med personaleliste
Hvordan hvert punkt påvises teknisk, med opsætninger og udtræk, hører til den tekniske påvisning af kontrolpunkterne. Datatilsynets mere detaljerede katalog over foranstaltninger behandles også dér.
Fire spørgsmål til hvert råd
Et råd bliver først et kriterium, når det er konkret nok til at måle på. Sikkerdigital.dk skriver i sin beskrivelse af audit og måling, at man ikke kan auditere mod udtryk som “best practice” eller “tilstrækkelig sikkerhed”. Kravet skal stå i en politik, en procedure eller en aftale. Rådet om backup kan altså først måles, når virksomheden har skrevet ned, hvad der tages backup af, og hvor ofte.
Samme kilde arbejder med fire spørgsmål, som kan lægges ned over hvert råd. Findes det, der er beskrevet? Bliver det fulgt i hverdagen? Tjener det sit formål? Og har det den virkning, der var tænkt? Siden er skrevet til myndigheder, der arbejder med ISO 27001. Her bruges den som metode og ikke som krav til en privat virksomhed.
Et tænkt eksempel viser, hvordan spørgsmålene virker. En lille tegnestue har skrevet, at alle konti, der kan nås udefra, har to-faktor-login. Det første spørgsmål besvares med politikken. Det andet kræver en oversigt over konti, hvor undtagelserne står. Det tredje og fjerde handler om, hvorvidt undtagelserne er begrundet, og om en tidligere medarbejders konto stadig kan logge ind.
Kilden skelner også mellem to slags punkter. Backup, opdatering og antivirus kan ofte måles direkte, og de er typisk noget, virksomheden kan bede driftsleverandøren rapportere om. Tværgående forhold, som lukning af adgang ved fratræden, efterprøves med interview, gennemgang af dokumenter og stikprøver.
Hvornår rådene ikke er nok
Er virksomheden omfattet af NIS 2, rækker rådene ikke. Det samme gælder, hvis virksomheden behandler mange følsomme oplysninger, eller hvis en kunde stiller krav, der går videre. Så er en bredere audit med egne kriterier mere passende. Afvejningen står i IT-sikkerhedstjek eller fuld audit.
Hvad det kræver, og hvad det koster at lade være
At bruge rådene som tjekliste kræver, at virksomheden beslutter det i opdraget og accepterer, at målestokken er Datatilsynets basale råd med de grænser, det giver. Det kræver også, at der kan vises bevis for hvert punkt.
Uden en fælles tjekliste bliver et tjek let et spørgsmål om, hvad den, der laver det, synes er vigtigt. Med rådene som grundlag kan virksomheden pege på en offentlig kilde, når den forklarer, hvad der er gennemgået.
Det skal I lade være med
- At kalde rådene en vejledning om IT-sikkerhed generelt · de er skrevet om persondata.
- At bruge kun Datatilsynets syv råd · læg de ni råd ved siden af.
- At bruge rådene som NIS 2-kriterier · loven kræver mere.
Det skal auditten kunne vise
- ☐ Hvilken liste der er brugt som kriterier, med dato for læsning.
- ☐ Et svar og et bevis pr. råd.
- ☐ Hvilke forhold rådene ikke dækker i netop denne virksomhed.
- ☐ Eventuelle fund, der ligger uden for rådene.
Kilder
- Datatilsynet, “GDPR-univers for små virksomheder, Trin 6”, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Auditkriterier · GDPR artikel 32 og regelmæssig evaluering
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
