Et sikkerhedstjek går hurtigere og giver et skarpere billede, når fire ting ligger klar før start: en liste over systemer og konti, leverandøraftalerne, aftalen eller opsætningen for backup og navnet på den, der kan give læseadgang. Resten kan findes undervejs.
Forberedelsen behøver ikke tage lang tid. Formålet er, at den, der laver tjekket, kan bruge tiden på selve undersøgelsen. Mangler der noget, er det i sig selv et fund, og det er bedre at sige det, end at bruge tid på at lave det i sidste øjeblik.
Forsamtalen
Første skridt er som regel en kort snak om, hvad virksomheden laver, hvordan IT er sat op, og hvad der bekymrer jer. Det er her, omfanget bliver lagt fast. Tag gerne stilling til tre ting inden samtalen:
- Hvad er det vigtigste for jer at kunne køre videre med, hvis IT svigter?
- Hvor ligger de oplysninger, der ville gøre mest skade at miste eller få lækket?
- Er der noget, der allerede bekymrer jer, fx en hændelse, et spørgsmål fra en kunde eller en fornemmelse af, at noget ikke er på plads?
Datatilsynet anbefaler i sit materiale til små virksomheder at begynde med de enheder, hvor der håndteres personoplysninger, der kræver særlig beskyttelse. Det er et godt pejlemærke for, hvor tjekket skal se først.
Den korte liste
Opstillingen her er praksis. Den passer til de fleste mindre virksomheder, og den kan tilpasses.
1. Systemer og konti. En liste over de systemer, virksomheden bruger, fx mail, filer, økonomi, fagsystemer og hjemmeside, og hvem der har konto i hvert af dem. Findes listen ikke, kan IT-leverandøren ofte trække brugerlisterne. Styrelsen for Samfundssikkerheds første råd til de mindste virksomheder handler netop om overblik over IT-systemer, værdifulde data og leverandører.
2. Administratorer. Hvem har udvidede rettigheder, både hos jer og hos leverandøren? Datatilsynet nævner, at man bør have styr på, hvem der har adgang til hvad og hvorfor.
3. Leverandøraftaler. Aftalen med IT-leverandøren og med de vigtigste cloudtjenester. Det er de afsnit, der handler om sikkerhed, backup, hændelser og ansvar, der er interessante.
4. Backup. Aftalen eller opsætningen, der viser, hvad der tages backup af, og hvor kopien ligger. Er der lavet en prøve på gendannelse, så noter, hvornår.
5. Fjernadgange. Hvilke veje der findes ind udefra, fx til medarbejdere, der arbejder hjemme, eller til leverandøren.
6. Dokumenter, der findes. En IT-sikkerhedspolitik, en beredskabsplan eller tidligere rapporter. Det er nok at finde dem frem. De bliver ikke bedømt på, hvor pæne de er.
Hvem der skal være til rådighed
Den, der laver tjekket, får brug for tre slags personer:
- en fra ledelsen, der kan svare på spørgsmål om forretningen og beslutte, hvad der er vigtigst
- den medarbejder, der har mest med IT at gøre i hverdagen
- en kontaktperson hos IT-leverandøren, der kan give læseadgang eller levere udtræk.
Giv leverandøren besked i god tid. En leverandør kan som regel levere oversigter over brugere, opdateringer og backup, når den ved, hvad der bliver bedt om, og hvornår.
Fortæl også medarbejderne, at tjekket finder sted. Nogle af spørgsmålene handler om vaner, fx hvordan man reagerer på en mistænkelig mail, eller om adgangskoder bliver delt. Svarene bliver mere ærlige, når medarbejderne ved, at formålet er at finde svagheder i opsætningen. Ingen bliver udpeget. Det er også en god idé at aftale, hvem der må kontaktes direkte undervejs, så den, der laver tjekket, ikke skal gå gennem ledelsen for hvert spørgsmål.
På stedet eller på afstand
Et tjek kan laves på stedet eller på afstand. På afstand kræver det, at læseadgang eller udtræk kan gives sikkert. På stedet giver det mulighed for at se det fysiske, fx hvor serveren står, og hvem der kan komme ind i rummet. Hvad hver form kan se, er gennemgået i på stedet eller på afstand.
Det, I ikke behøver
I behøver ikke skrive politikker, rydde op i brugerlister eller opdatere systemer, før tjekket begynder. Gør I det, viser tjekket et billede, der er pænere end hverdagen, og det er hverdagen, der skal vurderes. Har I lyst til at rette noget, så skriv ned, hvad der er rettet og hvornår, så det fremgår af rapporten.
Hvad det kræver, og hvad det koster at lade være
Forberedelsen kræver lidt tid fra den, der kender virksomhedens IT bedst, og en henvendelse til leverandøren. Ledelsen bør have tænkt over, hvad der er vigtigst.
Uden forberedelse bruges en del af tjekkets tid på at finde oplysninger, og noget bliver aldrig fundet. Rapporten bliver mindre præcis, og fund kan komme til at handle om manglende overblik i stedet for om de forhold, der faktisk betyder noget.
Det skal I lade være med
- At rydde op lige før tjekket · så vurderes en tilstand, der ikke findes i hverdagen.
- At glemme at give leverandøren besked · udtræk kan tage tid at få.
- At skjule det, der mangler · en mangel er et fund og et nyttigt et.
Det skal auditten kunne vise
- ☐ En liste over systemer, konti og administratorer.
- ☐ De leverandøraftaler, der er gennemgået.
- ☐ Backupens omfang og dato for seneste prøve på gendannelse.
- ☐ Hvilke oplysninger der manglede ved start.
Kilder
- Datatilsynet, “GDPR-univers for små virksomheder, Trin 6”, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Egne tjek, før I bestiller · Dokumentlisten og bevismappen
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
