Ved et IT-sikkerhedstjek ser en person udefra på de områder, der betyder mest for sikkerheden, og afleverer bagefter få sider med fund og en rækkefølge for, hvad der rettes. Det er skåret til virksomheder, der ikke har en IT-sikkerhedsansvarlig, og som har brug for at vide, hvad de skal gøre først.
En fuld sikkerhedsaudit gennemgår mange områder i dybden og passer til virksomheder med lovkrav eller en egen sikkerhedsorganisation. Så meget har den mindre virksomhed sjældent brug for. Den har brug for svar på få spørgsmål og en liste, der kan handles på, og det er det, tjekket er bygget til. Meget af det, der ellers skrives om IT-sikkerhed i SMV’er og små virksomheder, er enkeltråd eller en IT-sikkerhed test af ét system. Tjekket ser på helheden.
De tre spørgsmål, tjekket svarer på
Et IT-sikkerhedstjek kan samles om tre spørgsmål, som ledelsen i en mindre virksomhed kan forholde sig til uden teknisk baggrund:
- Kan uvedkommende komme ind? Det handler om login, adgange, mail og fjernadgang.
- Er data beskyttet? Det handler om, hvem der kan se og ændre hvad, og om data ligger, hvor I tror.
- Kan virksomheden komme op at køre igen? Det handler om backup, og om nogen har prøvet at gendanne.
Svarene bygger på det, der kan ses og vises. Det adskiller et tjek fra en samtale om IT.
Hvad der typisk gennemgås
Et tjek dækker som regel seks områder. Det er adgange, mailen, sikkerhedskopierne, opdateringerne, adgangen udefra og leverandørerne, og hvert af dem hører under et af de tre spørgsmål ovenfor. Hvad der ses på inden for hvert område, og hvilket bevis der bedes om, står i de seks områder i sikkerhedstjekket.
Områderne ligger tæt op ad Styrelsen for Samfundssikkerheds ni råd til de mindste virksomheder. De er tiltænkt virksomheder uden IT-sikkerhedsansvarlig og handler om overblik, opdatering, sikkert login, backup, adgangsrettigheder, sikkerhedsværktøjer, distancearbejde, medarbejdere og beredskab. At bruge dem som kriterier i et tjek er en fortolkning, men de giver et offentligt og anerkendt grundlag at måle mod.
Forskellen på et tjek og en selvtest
Ordet “sikkerhedstjek” er brugt om flere ting. Erhvervsstyrelsen har haft et selvtestværktøj ved navn “Sikkerhedstjekket”, hvor virksomheden selv svarede på spørgsmål om ledelse og risikohåndtering, sikkerhedsprocedurer, medarbejdere, tekniske løsninger og samarbejdspartnere. Ifølge Virksomhedsguiden er det værktøj lukket og erstattet af henvisninger til Systemoverblikket og IT-risikovurderingsværktøjet.
En selvtest og et IT-sikkerhedstjek er to forskellige ting. I en selvtest svarer virksomheden selv, og ingen kontrollerer svarene. I et tjek ser en person udefra på opsætninger, oversigter og aftaler og skriver kun det ned, der kan vises. Begge dele har en plads. En selvtest kan være et godt første skridt, og hvad myndighedernes værktøjer kan bruges til før et tjek, står i egne tjek, før I bestiller.
Hvad I får ud af det
Resultatet af et tjek er en kort rapport, skrevet så ledelsen kan bruge den. Den indeholder typisk:
- de fund, der er gjort, med en vurdering af, hvor alvorlige de er
- en anbefaling til hvert fund
- en rækkefølge, så det vigtigste står først
- de områder, hvor intet væsentligt blev fundet.
Rapporten gennemgås som regel på et møde, hvor spørgsmål kan stilles, og hvor det aftales, hvem der gør hvad. Hvordan en god rapport fra et tjek ser ud, beskriver rapporten fra et sikkerhedstjek.
Hvad et tjek ikke er
Et IT-sikkerhedstjek er hverken en penetrationstest, et certifikat eller en revisorerklæring. Det angriber ikke systemerne og godkender ikke virksomheden. Det er heller ikke en fuld audit. Har virksomheden krav fra en lov, en stor kunde eller en forsikring, der kræver mere, kan et tjek være et første skridt, men det dækker ikke nødvendigvis kravet. Valget mellem de to er beskrevet i IT-sikkerhedstjek eller fuld audit.
Hvad det kræver, og hvad det koster at lade være
Et tjek kræver en kort forsamtale om virksomheden, IT-opsætningen og det, ledelsen er bekymret for. Derefter kræver det, at nogen kan give læseadgang til de relevante systemer, eller at IT-leverandøren kan levere oversigter. Gennemgangen kan ske på stedet eller på afstand. For de fleste mindre virksomheder er det en overskuelig indsats.
Uden et tjek bygger virksomheden på antagelser om, at IT-leverandøren har styr på det, eller at ingen har grund til at angribe en lille virksomhed. Den første gang, antagelsen bliver prøvet, er ofte under en hændelse.
Nielco IT laver uvildige IT-sikkerhedstjek uden forhandleraftaler. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At forveksle en selvtest med et tjek · i selvtesten kontrollerer ingen svarene.
- At bestille en fuld audit, hvis tre spørgsmål er nok · tjekket er skåret til den mindre virksomhed.
- At lægge rapporten i en skuffe · fundene har brug for en ejer og en frist.
Det skal auditten kunne vise
- ☐ Svar på de tre spørgsmål med det bevis, der ligger bag.
- ☐ Fund pr. område med alvor og anbefaling.
- ☐ En prioriteret rækkefølge for rettelserne.
- ☐ Hvilke kriterier tjekket har målt mod.
Kilder
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
- Dansk Standard og Alexandra Instituttet, “SMV anvendelsesguide for risikostyring i forhold til cyber- og informationssikkerhed”, anneks, https://www.ds.dk/media/3afniz52/smv-anvendelsesguide-for-risikostyring-ift-cyber-og-informationssikkerhed.pdf, læst 12. november 2026.
- Virksomhedsguiden, “Sikkerhedstjekket”, https://virksomhedsguiden.dk/content/ydelser/sikkerhedstjekket/fffe471f-dbad-49a6-ab69-e4d9a01691ab, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ingen IT-ansvarlig i huset · IT-leverandøren siger, at alt er fint
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
