Efter et sikkerhedstjek kan en lille virksomhed med fordel dele fundene i tre bunker: det, der rettes inden for de første par uger, det, der kræver en aftale med IT-leverandøren eller en beslutning i ledelsen, og det, der bevidst venter. Efter tre måneder er de første to bunker typisk på plads, og der er en plan for den tredje.
Ingen regel fastsætter rækkefølgen eller de tre måneder. Opstillingen nedenfor er et forslag, bygget på de råd, myndighederne giver mindre virksomheder. Rapporten fra jeres eget tjek går forud. Står der noget andet dér, følg den.
Uge 1 og 2 og det, der rettes straks
Den første bunke er fund, der er alvorlige og hurtige at løse. Typiske eksempler:
- Konti, der skulle være lukket. Tidligere medarbejdere eller leverandører, der stadig har adgang.
- Manglende to-faktor-login. Ifølge Datatilsynets råd bør alt, der kan nås fra internettet, kræve to-faktor-login. Mail og fjernadgang er de oplagte steder at begynde.
- Opdateringer, der er sprunget over. Systemer, der kan opdateres, men ikke er blevet det.
- Administratorrettigheder til for mange. Medarbejdere, der har udvidede rettigheder, de ikke bruger.
Det fælles for dem er, at de ofte kan løses af IT-leverandøren på kort tid, når opgaven er bestilt. Bestil dem samlet og skriftligt, og bed om en bekræftelse, når de er gjort.
Uge 3 til 8 og det, der kræver aftale eller beslutning
Den anden bunke kræver mere end en bestilling. Her er det ledelsen, der skal tage stilling.
Backup. Viser tjekket, at backuppen ikke er adskilt fra resten af systemerne, eller at gendannelse aldrig er prøvet, kræver det ofte en ny aftale med leverandøren. Datatilsynets råd til små virksomheder regner ikke en løs harddisk med en kopi for en beskyttelse mod angreb. Aftal også en prøve på gendannelse, så I ved, at det virker.
Krav til IT-leverandøren. Datatilsynet nævner sikkerhedskrav til IT-leverandører blandt sine råd. Fund om, hvem hos leverandøren der har adgang, hvordan I får besked om hændelser, og hvad der står i aftalen, bør samles i én drøftelse med leverandøren.
Medarbejderne. De ni nationale råd om digital sikkerhed nævner medarbejdernes evne til at genkende svindelmails, -opkald og falske sms’er. En kort gennemgang for alle ansatte kan lægges i denne periode.
Ansvar. Hvem holder listen over fund, og hvem følger op? Er det ikke afklaret efter tjekket, bør det besluttes nu.
Uge 9 til 12 og en plan for resten
Den tredje bunke er fund, der er mindre alvorlige, eller som kræver større ændringer. Det kan være et gammelt system, der skal udskiftes, en IT-sikkerhedspolitik, der skal skrives, eller en beredskabsplan, der mangler. De løses sjældent på tre måneder, men de bør have en plan.
Tænkt eksempel: Et tjek i et lille revisionskontor viser, at et ældre program til lønberegning kører på en computer, der ikke længere kan opdateres. Programmet kan ikke skiftes på tre måneder. Planen bliver at flytte computeren væk fra resten af netværket nu og at vælge et nyt program inden årets udgang.
Planen er en kort liste: fund, hvem der ejer det, hvad der skal ske, og hvornår. Nogle fund venter bevidst, fordi andre er vigtigere. Det er en legitim beslutning, når den er truffet af ledelsen og skrevet ned. Det, der ikke er i orden, er fund, der venter, fordi ingen har taget stilling.
Efter tre måneder
Ved udgangen af perioden er det værd at holde et kort møde, hvor listen gennemgås. Hvad er løst, og kan det vises? Hvad er forsinket, og hvorfor? Er der kommet nye forhold til, fx et nyt system eller en ny leverandør? Mødet er også stedet at beslutte, hvornår næste gennemgang skal ligge. Hold samtidig øje med den offentlige hjælp til mindre virksomheder: den politiske aftale om en strategi for cyber- og informationssikkerhed 2026 til 2029 indeholder etablering af et SMV-CERT og en styrkelse af de mindre virksomheders beredskab. Det behandles i andet sikkerhedstjek et år efter.
Fordelingen af fundene i en virksomhed uden egen IT-ansvarlig har sin egen artikel, ingen IT-ansvarlig i huset. Den beskriver rollerne for ejerleder, leverandør og kontaktperson.
Hvad det kræver, og hvad det koster at lade være
Rækkefølgen kræver, at ledelsen sætter sig med rapporten lige efter tjekket og fordeler fundene i de tre bunker. Den kræver også, at IT-leverandøren får en skriftlig bestilling og en kontaktperson at gå til. For de fleste fund i første bunke er indsatsen lille.
Uden en rækkefølge bliver der enten rettet tilfældigt, efter hvad der er nemmest, eller slet ikke. De alvorlige fund kan stå åbne, mens der bruges tid på det mindre vigtige, og efter tre måneder er tjekket glemt.
Det skal I lade være med
- At begynde med det nemmeste · de alvorlige fund bør stå først.
- At lade fund vente uden en beslutning · at vente bør være et valg.
- At glemme at få bekræftet rettelserne · uden bevis ved I ikke, om de er lavet.
Det skal auditten kunne vise
- ☐ Fundene fordelt i tre bunker med ejer og frist.
- ☐ Bekræftelse på de rettelser, der er gennemført.
- ☐ Ledelsens beslutning om de fund, der venter.
- ☐ Status ved udgangen af de tre måneder.
Kilder
- Aftale om national strategi for cyber- og informationssikkerhed 2026-2029 (28. januar 2026), https://mssb.dk/media/5jdlnv41/aftaletekst.pdf, læst 12. november 2026.
- Datatilsynet, “GDPR-univers for små virksomheder, Trin 6”, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra fund til handlingsplan · Egenkontrol og årshjul
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
