Før en mindre virksomhed bestiller et IT-sikkerhedstjek, kan den selv bruge myndighedernes værktøjer til at få et første billede: et systemoverblik, et værktøj til risikovurdering af IT og skabeloner til politik og beredskab. Værktøjerne er nyttige til at stille de rigtige spørgsmål, men svarene er virksomhedens egne og bliver ikke kontrolleret af nogen.
Det er en god idé at begynde der. Et tjek udefra giver mere, når virksomheden allerede har tænkt over, hvilke systemer og data der er vigtigst. Artiklen beskriver værktøjerne, som de stod på skrivedagen, og hvor de holder op.
Værktøjerne
Sikkerdigital.dk samler myndighedernes værktøjer under “Test og værktøjer”. Her findes bl.a.:
- Systemoverblikket, et værktøj på Virksomhedsguiden, der hjælper virksomheden med at få overblik over vigtige systemer og data og beskytte dem mod cyberangreb.
- IT-risikovurderingsværktøjet, også på Virksomhedsguiden (beskrevet nedenfor).
- Skabeloner til IT-sikkerhedspolitik, beredskabsplan og IT-risikovurdering.
- Et værktøj til dialog med IT-leverandøren med vejledning og tjekliste.
- En medarbejderpakke, en bestyrelsesguide og en skabelon til en nødplan for mindre virksomheder.
D-mærkets Cyber Survey er et digitalt værktøj, der bygger på de ni nationale råd om digital sikkerhed. Det kan bruges uden betaling og består af 29 spørgsmål.
NIS2tjek.dk er Styrelsen for Samfundssikkerheds værktøj til at vurdere, om virksomheden er omfattet af NIS 2-loven. Det svarer kun på det spørgsmål, ikke på, om kravene er opfyldt, og det dækker ikke tele, energi og finans, som har egne regler.
IT-risikovurderingsværktøjet
Ifølge Virksomhedsguiden er IT-risikovurderingsværktøjet rettet mod små og mellemstore virksomheder og stillet til rådighed af Styrelsen for Samfundssikkerhed sammen med sikkerdigital.dk. Dansk Standards SMV-guide om risikostyring oplyser, at det oprindelig blev lanceret af Erhvervsstyrelsen i 2021.
Værktøjet fører brugeren gennem en række risikoscenarier. For hvert scenarie vurderer virksomheden selv sandsynlighed og konsekvens. DS-guiden beskriver en skala fra 1 til 5. Scenarierne dækker enheder på netværket, applikationer og tjenester, brugere, selve netværket og data. Resultatet kan hentes som et regneark.
Virksomhedsguiden skriver selv, at værktøjet kræver en vis teknisk indsigt, så det bør udfyldes af en, der kender virksomhedens IT, fx en IT-ansvarlig eller leverandøren. Siden skriver også, at vurderingen er et øjebliksbillede og ikke udtømmende. Med MitID-login gemmes svarene, så de kan tages op igen.
Et navn, der er brugt før
Erhvervsstyrelsen har tidligere haft en selvtest ved navn “Sikkerhedstjekket” med spørgsmål om fem temaer: ledelse og risikohåndtering, sikkerhedsprocedurer, medarbejdere, tekniske sikkerhedsløsninger og samarbejdspartnere. Ifølge Virksomhedsguiden er den lukket, og brugerne henvises til Systemoverblikket og IT-risikovurderingsværktøjet.
Den selvtest var noget andet end et IT-sikkerhedstjek udført af en person udefra. Forskellen er beskrevet i hvad er et IT-sikkerhedstjek.
Hvorfor et selvsvar ikke er bevis
Alle værktøjerne bygger på, at virksomheden svarer selv. Det gør dem hurtige og tilgængelige, og det er også deres grænse. Et ja i et skema viser en opfattelse. Om den holder, kræver noget, der kan vises.
D-mærket illustrerer forskellen. Mærket begynder med en selvevaluering. Før det tildeles, ser mærkets egne auditorer på det materiale, virksomheden har lagt op, og tager stilling til, om kriterierne er opfyldt. Selvevalueringen er altså kun første trin.
Skellet er praksis, og det får betydning, når svarene skal bruges over for andre. En kunde, en forsikring eller en bestyrelse, der får et selvsvar, får virksomhedens egen opfattelse. Et tjek eller en audit lægger bevis bag.
Sådan bruges egne tjek før en bestilling
En praktisk rækkefølge, som et forslag:
- Lav systemoverblikket. Det giver den liste over systemer og data, som et tjek alligevel vil spørge efter.
- Kør risikovurderingen. Den viser, hvor I selv mener, risikoen er størst, og det kan bruges til at afgrænse tjekket.
- Gem resultaterne. Regnearket og overblikket kan gives til den, der laver tjekket, som udgangspunkt.
- Notér det, I var i tvivl om. Spørgsmål, I ikke kunne svare på, er ofte de mest værdifulde at få undersøgt.
Vil virksomheden bruge egne vurderinger over flere år til at følge sin udvikling, er det en øvelse i modenhed. Den behandles under egenvurdering og modenhed over tid.
Hvad det kræver, og hvad det koster at lade være
Egne tjek kræver tid fra en, der kender virksomhedens IT, og for risikovurderingen en vis teknisk indsigt. Mangler den i huset, kan IT-leverandøren hjælpe med at udfylde den, men så er det leverandørens billede, I får.
Springes egne tjek over, begynder et eksternt tjek fra bunden, og en del af tiden bruges på at skaffe det overblik, I selv kunne have lavet. Bruges egne tjek i stedet for et tjek udefra, får virksomheden et billede, som ingen har kontrolleret.
Det skal I lade være med
- At sende et selvsvar videre som dokumentation · ingen har kontrolleret svarene.
- At udfylde risikovurderingen uden teknisk indsigt · værktøjet forudsætter den.
- At kalde en selvtest et sikkerhedstjek · navnet dækker to forskellige ting.
Det skal auditten kunne vise
- ☐ Hvilke egne tjek virksomheden har lavet, og hvornår.
- ☐ Hvilke af svarene der er bekræftet med bevis, og hvilke der ikke er.
- ☐ De spørgsmål, virksomheden ikke selv kunne besvare.
- ☐ Hvordan risikovurderingen er brugt til at afgrænse tjekket.
Kilder
- D-mærket, Cyber Survey, https://www.d-maerket.dk/cyberprepping, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, “Nyt værktøj hjælper virksomheder med at vurdere, om de er omfattet af NIS 2-loven” (april 2025), https://samsik.dk/artikler/2025/04/nyt-vaerktoej-hjaelper-virksomheder-med-at-vurdere-om-de-er-omfattet-af-nis-2-loven/, læst 12. november 2026.
- Sikkerdigital.dk, “Test og værktøjer”, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
- Virksomhedsguiden, “IT-risikovurderingsværktøj”, https://virksomhedsguiden.dk/erhvervsfremme/content/ydelser/it-risikovurderingsvaerktoej/fce38da7-025d-4326-98fe-c198f3ad8316/, læst 12. november 2026.
- Virksomhedsguiden, “Sikkerhedstjekket”, https://virksomhedsguiden.dk/content/ydelser/sikkerhedstjekket/fffe471f-dbad-49a6-ab69-e4d9a01691ab, læst 12. november 2026.
- Dansk Standard og Alexandra Instituttet, “SMV anvendelsesguide for risikostyring i forhold til cyber- og informationssikkerhed”, anneks, https://www.ds.dk/media/3afniz52/smv-anvendelsesguide-for-risikostyring-ift-cyber-og-informationssikkerhed.pdf, læst 12. november 2026.
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
- D-mærket, “Proces”, https://d-maerket.dk/da/bliv-d-maerket/proces, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Risikovurdering af IT i en mindre virksomhed · D-mærket eller en sikkerhedsaudit · Datatilsynets råd som tjekliste
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
