Et IT-sikkerhedstjek i en mindre virksomhed dækker typisk seks områder: adgangsstyring, e-mail og phishing, backup, opdateringer, fjernadgang og leverandører. Hvert område besvarer ét spørgsmål, ledelsen kan forholde sig til, og hvert svar bygger på noget, der kan vises.
Artiklen er skrevet til ledelsen og ikke til den, der skal udføre det tekniske arbejde. Den forklarer, hvad der spørges om, og hvorfor. Hvordan hvert område påvises teknisk, med opsætninger og udtræk, er beskrevet under teknisk påvisning af hvert kontrolpunkt.
Hvorfor netop de seks
De seks områder dækker de mest oplagte veje ind og det, der skal til for at komme på fode igen. Udvalget er en vurdering. Til sammenligning har Styrelsen for Samfundssikkerhed ni råd om digital sikkerhed til virksomheder uden IT-sikkerhedsansvarlig: overblik, opdatering, sikkert login, backup, adgangsrettigheder, IT-sikkerhedsværktøjer, distancearbejde, medarbejdere og beredskab. De seks områder kan lægges op ad rådene, og rådene kan bruges som kriterier i tjekket. Den sammenkobling er en fortolkning.
Kilden skriver selv, at rådene ser bort fra særregler som NIS 2. Er virksomheden omfattet af en sådan, rækker en IT-sikkerhed tjekliste med seks punkter ikke.
1. Adgangsstyring
Spørgsmålet: Har de rigtige personer adgang til det, de har brug for, og intet andet?
Her ser tjekket på, hvem der har konti, hvem der har administratorrettigheder, og om tidligere medarbejderes adgang er lukket. Det svarer til rådene om sikkert login og adgangsrettigheder.
Bevis: en liste over brugere og administratorer, sammenholdt med en liste over nuværende medarbejdere, og spor efter de seneste lukninger af konti.
2. E-mail og phishing
Spørgsmålet: Hvor let er det at narre en medarbejder til at give adgang eller betale en falsk faktura?
Mail er en kendt vej ind. Tjekket ser på opsætningen af mailtjenesten og på, om medarbejderne ved, hvad de skal gøre ved en mistænkelig mail. Det svarer til rådet om medarbejdere, som også nævner svindelopkald og falske sms’er.
Bevis: mailtjenestens opsætning af filtre og login, og hvad medarbejderne har fået at vide, og hvornår.
3. Backup
Spørgsmålet: Kan virksomheden komme op at køre igen, hvis data bliver slettet eller krypteret?
Tjekket ser på omfanget af sikkerhedskopierne, deres placering, og om en angriber, der er kommet ind på netværket, også kan nå kopien. Det vigtigste spørgsmål er, om nogen har prøvet at gendanne.
Bevis: backupaftalen eller -opsætningen og dato og resultat af den seneste prøve på en gendannelse.
4. Opdateringer
Spørgsmålet: Bliver kendte huller lukket, når producenten har rettet dem?
Tjekket ser på computere, servere, netværksudstyr og programmer, og på om der findes systemer, der ikke længere kan opdateres. Det svarer til rådet om opdatering.
Bevis: en oversigt over systemer med opdateringsstatus og en liste over dem, der ikke længere får opdateringer.
5. Fjernadgang
Spørgsmålet: Hvem kan komme ind udefra, og hvordan?
Fjernadgang til arbejdspladser, servere og cloudtjenester er praktisk og en kendt vej ind for angribere. Tjekket ser på, hvilke adgange der findes, om de kræver to-faktor-login, og hvem der har dem, også leverandører. Det svarer til rådene om distancearbejde og sikkert login.
Bevis: en oversigt over fjernadgange, hvem der bruger dem, og hvordan login er sikret.
6. Leverandører
Spørgsmålet: Hvad har IT-leverandøren og de andre leverandører ansvaret for, og hvad ved I om, hvordan de løser det?
Mange mindre virksomheder har lagt driften ud. Tjekket ser på, hvad der står i aftalerne om sikkerhed, backup og hændelser, og hvem der har adgang til jeres systemer på leverandørens vegne. Det svarer til den del af rådet om overblik, der handler om leverandører.
Bevis: aftalerne, en liste over leverandører med adgang og eventuelle rapporter, leverandøren har sendt.
Det, der ikke er med
Seks områder er et udvalg. Beredskab, fysisk sikkerhed og politikker er ikke med som selvstændige områder, selv om de indgår i de ni råd og i en fuld audit. Er de vigtige for jeres virksomhed, kan de tilføjes, eller I kan vælge en fuld audit. Overvejelserne står i IT-sikkerhedstjek eller fuld audit.
Rækkefølgen af områderne i artiklen siger heller ikke, hvad der er vigtigst hos jer. Det afgør fundene. En virksomhed med en solid backup og mange åbne fjernadgange begynder et andet sted end en, hvor det forholder sig omvendt. Meget af det, der skrives om IT-sikkerhed i virksomheder, giver en fast rangorden. Tjekket giver jeres egen.
Hvad det kræver, og hvad det koster at lade være
At gennemgå de seks områder kræver læseadgang eller udtræk fra de systemer, der er nævnt, og adgang til leverandøraftalerne. Materialet kommer ofte fra IT-leverandøren, som derfor bør have besked i god tid.
Springes et af områderne over, står det åbent. De seks hænger sammen: En god backup hjælper ikke, hvis en angriber kommer ind via en glemt fjernadgang og sletter kopien.
Det skal I lade være med
- At svare på spørgsmålene uden bevis · et ja, der ikke kan vises, er et fund.
- At bruge de seks områder som NIS 2-kontrol · loven har mindst ti områder.
- At udelade leverandørerne · de har ofte adgang til det hele.
Det skal auditten kunne vise
- ☐ Et svar pr. område med det bevis, der ligger bag.
- ☐ Hvilke af de ni råd der er brugt som kriterier.
- ☐ Hvilke områder der bevidst er holdt ude af tjekket.
- ☐ En prioriteret liste over fund på tværs af områderne.
Kilder
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er et IT-sikkerhedstjek · Rapporten fra et sikkerhedstjek
→ Kontakt · Tlf. 70 13 63 23 · Teknisk gennemgang hos Nielco IT
