En certificeringsaudit afgør, om virksomheden kan få eller beholde et ISO 27001-certifikat, og den udføres af et certificeringsorgan. En intern audit efter punkt 9.2 er virksomhedens egen kontrol af sit ledelsessystem og er et krav i standarden. En sikkerhedsaudit er en uafhængig gennemgang mod de kriterier, I vælger, og den giver en rapport, men aldrig et certifikat.
De tre bliver ofte blandet sammen, fordi de bruger de samme ord og nogle gange de samme dokumenter. Forskellen har betydning, når I skal bestille, og når I skal forklare en kunde, hvad I har.
Standarden og udgaverne
ISO/IEC 27001 er den internationale standard for ledelsessystemer for informationssikkerhed. Den gældende udgave er fra 2022 og findes på dansk som DS/EN ISO/IEC 27001:2023. Det er den udgave, Styrelsen for Samfundssikkerhed henviser til i sin vejledning om cybersikkerhedsforanstaltninger.
Standardens afsnit 9 handler om evaluering. Det er inddelt i punkt 9.1 om overvågning og måling, 9.2 om intern audit og 9.3 om ledelsens gennemgang. Standardteksten til punkt 9.2 er ikke læst til denne artikel, fordi den ikke er frit tilgængelig. Det, der står nedenfor om den interne audit, bygger på offentlige beskrivelser.
1. Certificeringsauditten
Formålet er at afgøre, om virksomhedens ledelsessystem lever op til standarden, så der kan udstedes eller fornyes et certifikat. Auditten udføres af et certificeringsorgan. I Danmark er DANAK det nationale akkrediteringsorgan, og certificeringsorganer kan akkrediteres til certificering af ledelsessystemer efter standarden DS/EN ISO/IEC 17021-1, bl.a. inden for informationssikkerhed.
Akkrediteringen er det, der giver certifikatet sin vægt. Den viser, at organet selv er bedømt af en kompetent og uvildig instans. Hvad certifikatet siger og ikke siger i en NIS2-sammenhæng, står i ISO 27001-certifikatet i NIS2-auditten.
2. Den interne audit efter punkt 9.2
Formålet er, at virksomheden selv kontrollerer, at ledelsessystemet fungerer og lever op til både standarden og virksomhedens egne krav. Ifølge Dansk Standards beskrivelse er interne audits obligatoriske, når man anvender ledelsesstandarder, og de skal ske med regelmæssige mellemrum.
Den interne audit kan udføres af egne medarbejdere eller af en ekstern auditor på virksomhedens vegne. Det afgørende er, at den, der auditerer, ikke vurderer sit eget arbejde. Arbejdsdelingen er forklaret i intern og ekstern audit.
Da den interne audit er et krav i standarden, hører den med til det, certificeringsorganet vurderer. Hvor dybt organet går i de interne audits og opfølgningen på dem, afhænger af organets egen metode.
3. Sikkerhedsauditten
Formålet bestemmer I selv. Det kan være at få et uafhængigt billede til bestyrelsen, at forberede en certificering, at svare en kunde eller at efterprøve et bestemt område. Kriterierne kan være standarden, men de kan også være jeres egen politik, et andet rammeværk eller en lov. Se auditkriterier.
Resultatet er en rapport med fund og anbefalinger. Den kan bruges som intern audit efter punkt 9.2, hvis den er bestilt og afgrænset til det. Den kan ikke give et certifikat. Kun et certificeringsorgan kan det.
De tre side om side
- Hvad afgør den? · Certificeringsaudit: Om certifikatet kan udstedes eller fornyes · Intern audit (9.2): Om ledelsessystemet fungerer · Sikkerhedsaudit: Det spørgsmål, I stiller
- Hvem udfører den? · Certificeringsaudit: Et certificeringsorgan · Intern audit (9.2): Egne folk eller ekstern på jeres vegne · Sikkerhedsaudit: En uafhængig auditor, I vælger
- Kriterier · Certificeringsaudit: Standarden · Intern audit (9.2): Standarden og egne krav · Sikkerhedsaudit: Valgfrie
- Resultat · Certificeringsaudit: Certifikat eller afvisning · Intern audit (9.2): Rapport til ledelsen · Sikkerhedsaudit: Rapport til ledelsen
Uden certificering
Mange virksomheder bruger ISO 27001 som ramme uden at gå efter et certifikat. Så er standarden et kriterium blandt flere, og sikkerhedsauditten kan måle mod de dele, der er relevante. Hvordan standarden bruges som måleramme over flere år i større virksomheder, er beskrevet under modenhed målt med rammeværk.
En mindre virksomhed kan finde en dansk vejledning til ISO/IEC 27001 for SMV’er på sikkerdigital.dk. Den bygger dog på 2013-udgaven af standarden, så punkterne skal læses med det forbehold.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I ved, om målet er et certifikat, en fungerende intern kontrol eller et uafhængigt billede. Er målet et certifikat, skal der både være interne audits og en certificeringsaudit. Er målet et uafhængigt billede, er en sikkerhedsaudit nok.
Blandes de sammen, kan I ende med at betale for en grundig sikkerhedsaudit og tro, at den kan vises frem som et certifikat. Eller I kan vente på et certifikat, når det, kunden eller bestyrelsen egentlig ville have, var en rapport om de vigtigste risici.
Det skal I lade være med
- At kalde en sikkerhedsaudit for en certificering · kun et certificeringsorgan udsteder certifikater.
- At springe den interne audit over før certificeringen · den er en del af det, der vurderes.
- At lade samme person bygge og auditere ledelsessystemet · vurderingen bliver egenkontrol.
Det skal auditten kunne vise
- ☐ Hvilken af de tre audits der er gennemført, og med hvilket formål.
- ☐ Hvem der har udført den, og om certificeringsorganet er akkrediteret.
- ☐ Planen for interne audits, og hvordan fund er fulgt op.
- ☐ Hvilken udgave af standarden der er brugt som kriterium.
Kilder
- DANAK, Om akkreditering, https://danak.dk/om-akkreditering, læst 12. november 2026.
- DANAK, Akkrediteringsområder, https://danak.dk/akkrediteringsomrader, læst 12. november 2026.
- DIGITAL SME og SBS, Vejledning til SMV’er vedrørende implementering af ISO/IEC 27001, dansk udgave, tabel 8, https://admin.sikkerdigital.dk/media/6744/sme-guide_iso-27001.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 30, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Dansk Standard, Internal audit, ISO 19011, https://www.ds.dk/en/about-standards/management-systems/iso-19011-internal-audit, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad en sikkerhedsaudit ikke kan · Erklæring eller auditrapport
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
