En risikovurdering af IT i en mindre virksomhed er en skriftlig gennemgang af, hvad der kan gå galt med systemer og data, hvor sandsynligt det er, og hvad det vil betyde. Kan den bruges som kriterium i en audit, viser den også, hvilke foranstaltninger virksomheden har valgt på grund af risiciene, og hvilke risici den har accepteret.
Den sidste del er let at glemme. En risikovurdering kan ende som en liste over farer med tal ud for. Uden koblingen til de valgte foranstaltninger kan auditor ikke se, om vurderingen har gjort en forskel.
Hvorfor risikovurderingen er grundlaget
Både NIS 2-loven og databeskyttelsesforordningen er risikobaserede. I forordningen hedder det, at niveauet for sikkerheden skal svare til risiciene. Uden en vurdering af risiciene kan ingen sige, om niveauet passer. Vil en virksomhed uden for begge regelsæt have et tjek eller en audit målt mod sine egne prioriteter, står den med samme behov.
Ifølge sikkerdigital.dk kræver en audit et konkret grundlag at måle imod. En nedskrevet risikovurdering er et af de mest konkrete, en mindre virksomhed kan have.
En enkel model at følge
Dansk Standard og Alexandra Instituttet har lavet en SMV-guide til risikostyring inden for cyber- og informationssikkerhed, støttet af Cyber Hub og Erhvervsstyrelsen. Guiden bygger på ISO/IEC 27005 og deler arbejdet i fem trin:
- Kontekst. Hvad laver virksomheden, hvilke systemer og data er vigtige, og hvad må ikke ske?
- Identifikation af risici. Hvad kan true systemerne og data, både angreb udefra, fejl, uheld og menneskelig adfærd?
- Analyse. Hvor sandsynligt er hver risiko, og hvor alvorlig vil konsekvensen være?
- Evaluering. Hvilke risici er for høje, og hvilke kan virksomheden leve med?
- Håndtering. Hvad gøres ved de risici, der er for høje?
Ifølge guiden udgør trin 2, 3 og 4 tilsammen selve risikovurderingen, og risikostyring er en løbende proces. Guiden har ingen udgivelsesdato i den udgave, der er læst, og den henviser til en opdatering af ISO/IEC 27005 fra 2022.
Guiden supplerer IT-risikovurderingsværktøjet på Virksomhedsguiden og dækker bredere, fx hændelser udefra, adfærd og organisation. Sikkerdigital.dk har desuden en skabelon til IT-risikovurdering. Hvordan værktøjet bruges, er beskrevet i egne tjek, før I bestiller.
Hvad der bør stå i den
Opstillingen er praksis. En risikovurdering af IT-systemer, der kan bruges som kriterium, indeholder typisk:
- en liste over de vigtigste systemer og data, med en ejer for hver
- de risici, der er identificeret for hvert af dem
- en vurdering af sandsynlighed og konsekvens med en forklaret skala
- en beslutning pr. risiko: reducere, flytte, undgå eller acceptere
- de foranstaltninger, der er valgt for at reducere risikoen
- de accepterede risici med navnet på den, der har sagt god for dem
- datoen for vurderingen og hvornår den gennemgås igen.
En skabelon kan hjælpe med formen. Indholdet bør komme fra virksomheden selv.
Hvordan auditor ser, om den er brugt
En risikovurdering, der ligger i en mappe, er et dokument. En risikovurdering, der er brugt, kan spores i virksomhedens beslutninger. Auditor ser typisk efter tre spor. Sporene er praksis.
Sammenhæng med foranstaltningerne. Er de foranstaltninger, virksomheden har, dem, risikovurderingen peger på? Har virksomheden investeret i noget, der ikke står i vurderingen, eller mangler noget, vurderingen kalder højt?
Ledelsens accept. Er de accepterede risici godkendt af nogen med myndighed til det? En risiko, der er accepteret af den, der skal udføre arbejdet, er ikke en ledelsesbeslutning.
Opdatering. Er vurderingen gennemgået efter større ændringer, fx et nyt system, en ny leverandør eller en hændelse? Sikkerdigital.dk nævner resultater af tidligere audits som noget, en auditplan forholder sig til, og risikovurderingen bør være lige så levende.
Vil I følge risikobilledet år for år, er det et modenhedsspørgsmål, som måling af modenhed og risikostyring over tid handler om.
Hvad det kræver, og hvad det koster at lade være
En brugbar risikovurdering kræver, at ledelsen og den, der kender IT bedst, sætter sig sammen og går de fem trin igennem. Det vigtigste er, at ledelsen deltager i evalueringen, fordi det er dér, det besluttes, hvilke risici virksomheden vil leve med.
Uden risikovurdering bliver sikkerheden valgt efter vane, tilbud fra leverandøren eller det, der står i nyhederne. En audit kan så kun måle mod råd udefra, og virksomheden ved ikke, om den bruger sine kræfter dér, hvor risikoen er størst.
Det skal I lade være med
- At stoppe ved listen over farer · koblingen til foranstaltningerne er det, der tæller.
- At lade den, der udfører arbejdet, acceptere risici · det er en ledelsesbeslutning.
- At bruge tal fra en skabelon · sandsynlighed og konsekvens bør være jeres egne.
Det skal auditten kunne vise
- ☐ En dateret risikovurdering med ejer pr. system.
- ☐ Sammenhæng mellem de vurderede risici og de valgte foranstaltninger.
- ☐ Accepterede risici med navn på den, der har accepteret dem.
- ☐ Spor efter opdatering ved større ændringer.
Kilder
- Dansk Standard og Alexandra Instituttet, “SMV anvendelsesguide for risikostyring i forhold til cyber- og informationssikkerhed”, s. 1-5, https://www.ds.dk/media/3afniz52/smv-anvendelsesguide-for-risikostyring-ift-cyber-og-informationssikkerhed.pdf, læst 12. november 2026.
- Sikkerdigital.dk, “Audit og måling”, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
- Sikkerdigital.dk, “Test og værktøjer”, https://sikkerdigital.dk/vaerktoejer, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 32, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Auditkriterier · Compliance-audit eller risikoaudit
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
