Databeskyttelsesforordningens artikel 32 nævner en procedure for regelmæssig afprøvning, vurdering og evaluering af, om sikkerhedsforanstaltningerne virker, som en af de foranstaltninger, der gennemføres, hvor den er relevant. Sammen med pligten til at kunne påvise, at reglerne overholdes, giver det enhver dataansvarlig en god grund til at have noget skriftligt, og en sikkerhedsaudit er en måde at skabe det på.
Bestemmelsen gælder for alle, der behandler personoplysninger som dataansvarlig eller databehandler, også virksomheder, der aldrig har hørt om NIS 2. Den bliver dog ofte læst bredere, end ordlyden bærer. Derfor er det værd at se på, hvad der faktisk står.
Hvad artikel 32 siger
Artikel 32, stk. 1 pålægger den dataansvarlige og databehandleren at gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risiciene. Bestemmelsen nævner derefter fire eksempler, “herunder bl.a. alt efter hvad der er relevant”:
- a) pseudonymisering og kryptering af personoplysninger
- b) evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed
- c) evne til rettidigt at genoprette tilgængeligheden efter en fysisk eller teknisk hændelse
- d) en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af foranstaltningerne.
Litra d er altså et af fire eksempler, og ordene “alt efter hvad der er relevant” gælder for dem alle. Bestemmelsen kræver ikke en audit og siger ikke, hvem der skal afprøve, eller hvor ofte. Den læsning, at litra d er en ubetinget pligt til løbende kontrol hos alle dataansvarlige, går videre end ordlyden.
Pligten til at kunne påvise
To andre bestemmelser giver litra d mere vægt. Artikel 5, stk. 2 fastslår, at den dataansvarlige er ansvarlig for og skal kunne påvise, at principperne overholdes. Artikel 24, stk. 1 kræver, at den dataansvarlige gennemfører foranstaltninger for at sikre og kunne påvise, at behandlingen sker i overensstemmelse med forordningen, og at foranstaltningerne om nødvendigt revideres og ajourføres.
Det er en fortolkning, at den, der skal kunne påvise, at sikkerheden er passende, har brug for noget, der viser det. En dokumenteret afprøvning eller evaluering er en af de mest direkte måder.
Hvad Datatilsynet skriver
Datatilsynets vejledning “Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger” er fra juni 2018. Den omtaler litra d som et eksempel på procedureregler og nævner, at man med jævne mellemrum, afhængigt af relevans, tester, vurderer og evaluerer fx firewalls, krypterede forbindelser og lagring, foranstaltninger mod overbelastningsangreb og gætning af adgangsfaktorer samt adgangskontrol og brugeradministration. Vejledningen skriver også, at overvejelserne om behandlingssikkerhed skal ske med regelmæssige mellemrum for at imødegå ændringer i risikobilledet.
Vejledningen henviser til den udgave af ISO/IEC 27001, der gjaldt i 2018. På skrivedagen viste Datatilsynets side om behandlingssikkerhed emnesider og et katalog over foranstaltninger, men ingen nyere samlet vejledning, der erstatter 2018-udgaven. Det kan ændre sig, og det er værd at tjekke, før den bruges som kriterium.
Datatilsynet offentliggør hvert år sine særlige fokusområder for tilsyn. For 2026 omfatter de bl.a. tilsyn med brugen af automatisk udfyldning af modtagere i e-mail “i såvel den offentlige som den private sektor” og tilsyn med store databehandlere. Private virksomheder kan altså få besøg, også uden at have meldt et brud.
Hvad en sikkerhedsaudit dokumenterer
En sikkerhedsaudit målt mod artikel 32 kan dokumentere tre forhold:
At der er foretaget en risikovurdering, og at foranstaltningerne er valgt ud fra den. Artikel 32 er risikobaseret, så uden en risikovurdering er der intet at måle det “passende” imod.
At foranstaltningerne findes og bliver brugt. Auditten samler bevis for adgangskontrol, kryptering, backup og de øvrige foranstaltninger, virksomheden har valgt.
At de virker. Det er her, litra d kommer ind. Auditten kan selv afprøve, eller den kan kontrollere, at virksomhedens egen procedure for afprøvning er gennemført og fulgt op.
Rapporten bliver så en del af den dokumentation, den dataansvarlige kan vise, hvis Datatilsynet spørger. Den er ikke en godkendelse fra tilsynet.
Audit, revisionserklæring og databehandlere
Søger man på “gdpr revisionserklæring”, støder man på erklæringer, som revisorer afgiver efter en erklæringsstandard. En sådan erklæring er et andet produkt end en sikkerhedsaudit. Den har en defineret grad af sikkerhed og er rettet mod modtagere uden for virksomheden. Når den dataansvarlige fører tilsyn med sine databehandlere, er det ofte den slags dokument, der indgår. Den del er behandlet under tilsyn med databehandlere og læsning af erklæringer. Hvordan GDPR og NIS 2 kan kombineres i én gennemgang, står i NIS2 og GDPR i samme audit.
Hvad det kræver, og hvad det koster at lade være
En audit efter artikel 32 kræver en fortegnelse over behandlingerne, den risikovurdering, der er lavet, og en beskrivelse af de valgte foranstaltninger. Mangler risikovurderingen, er det første fund, og auditten kan i så fald bruge virksomhedens egen politik eller en anerkendt ramme som midlertidigt kriterium.
Uden dokumenteret evaluering kan den dataansvarlige vanskeligt påvise, at sikkerheden er passende. Ved et brud på persondatasikkerheden bliver det spørgsmål aktuelt, og så er det for sent at lave den evaluering, der skulle have ligget i forvejen.
Det skal I lade være med
- At læse litra d som et krav om en årlig audit · forordningen nævner hverken audit eller interval.
- At evaluere uden en risikovurdering · uden den er der intet at måle det passende imod.
- At forveksle en auditrapport med en revisorerklæring · de har forskellige modtagere og forskellig sikkerhedsgrad.
Det skal auditten kunne vise
- ☐ En risikovurdering for behandlingerne og sammenhængen til de valgte foranstaltninger.
- ☐ Bevis for, at foranstaltningerne findes og bruges.
- ☐ En procedure for afprøvning og evaluering og spor efter, at den er fulgt.
- ☐ Dato for seneste evaluering og hvad der er rettet siden.
Kilder
- Datatilsynet, “Særlige fokusområder for Datatilsynets tilsynsaktiviteter i 2026”, https://www.datatilsynet.dk/afgoerelser/generelt-om-tilsyn/saerlige-fokusomraader-for-datatilsynets-tilsynsaktiviteter-i-2026, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 5, stk. 2, artikel 24, stk. 1, og artikel 32, stk. 1, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Datatilsynet, “Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger”, juni 2018, afsnit 3.3.4 og 4, https://www.datatilsynet.dk/Media/637689328983143992/Behandlingssikkerhed%20og%20databeskyttelse%20gennem%20design%20og%20standardindstillinger_2018.pdf, læst 12. november 2026.
- Datatilsynet, “Behandlingssikkerhed”, https://www.datatilsynet.dk/regler-og-vejledning/behandlingssikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Erklæring eller auditrapport · Hvor ofte uden lovkrav
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
