I en lille virksomhed er en IT-sikkerhedspolitik nok, når den er kort, passer til virksomheden, er godkendt af ledelsen, er kendt af medarbejderne og bliver fulgt. Det, auditor kigger efter, er, om det, der står, svarer til det, der sker.
Nogle mindre virksomheder har ingen politik. Andre har en skabelon, der aldrig er rettet til. Begge dele bliver typisk til fund, af hver sin grund. Artiklen beskriver, hvad der skal til, for at politikken kan bruges som grundlag for et tjek eller en audit.
Hvad reglerne siger
Ingen almen regel kræver, at en lille virksomhed uden for NIS 2 har en IT-sikkerhedspolitik. Databeskyttelsesforordningens artikel 24, stk. 2 nævner dog, at den dataansvarliges foranstaltninger omfatter passende databeskyttelsespolitikker, når det står i rimeligt forhold til behandlingsaktiviteterne. Ordene “i rimeligt forhold” betyder, at en lille virksomhed med få og almindelige behandlinger kan nøjes med mindre end en stor. Det er en fortolkning af forholdsmæssigheden.
Er virksomheden omfattet af NIS 2-loven, gælder andre krav. Lovens første punkt i § 6, stk. 1 handler om politikker for risikoanalyse og for sikkerheden i informationssystemerne. Det politiksæt, en omfattet virksomhed har brug for, er beskrevet i audit af sikkerhedspolitikkerne.
Hvorfor politikken betyder noget i et tjek
En gennemgang måler den faktiske tilstand mod noget. Ifølge sikkerdigital.dk duer det ikke at auditere ud fra “best practice”, “tilstrækkelig sikkerhed” eller “fornødne kontroller”. Kravene skal være konkretiseret, fx i politikker og procedurer. Har virksomheden en konkret politik, er den det mest naturlige kriterium, fordi den er virksomhedens egen beslutning om, hvordan sikkerheden skal være.
Har virksomheden ingen politik, må tjekket måle mod noget udefra, fx de ni nationale råd. Det kan sagtens give et brugbart resultat. Det svarer så på, om virksomheden følger myndighedernes råd. Om den følger sine egne regler, kan tjekket ikke sige.
Hvad auditor ser efter
Fire spørgsmål går igen, når auditor læser en politik i en lille virksomhed. Spørgsmålene er praksis.
Passer den til virksomheden? Nævner den de systemer, virksomheden faktisk bruger, og de roller, der faktisk findes? En politik, der henviser til en IT-afdeling, som ikke eksisterer, passer ikke.
Er den godkendt? Står der, hvem i ledelsen der har godkendt den, og hvornår? Uden godkendelse er det et udkast.
Er den kendt? Ved medarbejderne, at den findes, og hvad der står om det, der vedrører dem? Det kan vises med en mail, et punkt på et personalemøde eller en underskrift ved ansættelse.
Bliver den fulgt? Stemmer det, der står om fx adgangskoder, backup og fratrædelse, med det, tjekket finder i virkeligheden? Det er det vigtigste af de fire spørgsmål.
Hvad der er nok
Opstillingen er et forslag. En politik for en lille virksomhed kan holdes på få sider og dække:
- hvem i ledelsen der har ansvaret, og hvem der udfører opgaverne
- regler for adgang og login, herunder to-faktor-login
- regler for backup, og hvem der kontrollerer den
- hvad medarbejderne gør ved en mistænkelig mail eller en hændelse
- hvad der sker, når en medarbejder starter og stopper
- hvilke krav der stilles til IT-leverandøren
- hvornår politikken gennemgås igen.
Sikkerdigital.dk har vejledning og en skabelon til en IT-sikkerhedspolitik på dansk. Indholdet af skabelonen er ikke gennemgået her.
Hvorfor en skabelon uden tilpasning bliver et fund
En skabelon er et godt udgangspunkt. Problemet opstår, når den bruges uden at blive rettet til. Så indeholder politikken regler, virksomheden ikke følger, roller, der ikke findes, og systemer, der ikke bruges. Når auditor sammenligner politikken med virkeligheden, bliver hver uoverensstemmelse et fund. Det er en fortolkning, men den følger af, at politikken er kriteriet.
Paradoksalt nok kan en ambitiøs skabelon give flere fund end ingen politik. En farbar vej er at skrive mindre og holde det.
Hvad det kræver, og hvad det koster at lade være
En tilpasset politik kræver, at ledelsen og den, der har mest med IT at gøre, går skabelonen eller det eksisterende dokument igennem linje for linje og retter det til virkeligheden. Derefter bør den godkendes, gøres kendt og sættes til gennemgang en gang om året eller ved større ændringer.
Uden en politik, der passer, har virksomheden ingen fælles beslutning om, hvordan sikkerheden skal være. Medarbejderne gør, som de plejer, IT-leverandøren gætter, og et tjek kan kun måle mod råd udefra.
Det skal I lade være med
- At tage en skabelon i brug uden at rette den til · hver regel, der ikke følges, bliver et fund.
- At skrive mere, end virksomheden kan holde · en kort politik, der følges, er mere værd.
- At glemme godkendelsen · uden den er politikken et udkast.
Det skal auditten kunne vise
- ☐ En politik, der nævner virksomhedens egne systemer og roller.
- ☐ Ledelsens godkendelse med dato.
- ☐ At medarbejderne har fået politikken at kende.
- ☐ Overensstemmelse mellem politikken og det, der faktisk sker.
Kilder
- Forordning (EU) 2016/679, artikel 24, stk. 2, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Sikkerdigital.dk, “Test og værktøjer”, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Auditkriterier · Egne tjek, før I bestiller
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
