En virksomhed er vokset fra sin IT, når sikkerheden stadig hviler på én persons hukommelse og gode vilje, mens antallet af systemer, brugere og leverandører er steget. En audit kan vise, hvor det uformelle ikke længere holder, og pege på de få ting, der bør formaliseres først.
I begyndelsen var der en medarbejder, ofte ejeren selv eller en kollega med interesse for IT, som oprettede brugere, valgte programmer og ringede til leverandøren, når noget gik galt. Det fungerede, fordi alle kendte hinanden, og fordi der var få systemer. Med tiden kom flere medarbejdere, et par afdelinger, nye cloudtjenester og måske et lager eller en filial. Ingen besluttede, at IT-sikkerheden skulle laves om. Den voksede bare med, eller lod være.
Tegnene på, at det uformelle ikke bærer længere
Ingen regel siger, hvornår en virksomhed er vokset fra sin IT. Tegnene nedenfor er praksis og et forslag til en selvprøve:
- Kun én kender helheden. Er den person syg eller på ferie, ved ingen, hvem der har adgang til hvad, eller hvordan backuppen gendannes.
- Adgange bliver ikke lukket. Medarbejdere, der er stoppet, har stadig konti, fordi ingen fik besked.
- Nye systemer kommer ind af sidedøren. Afdelinger tegner abonnementer på cloudtjenester uden at nogen samlet ved, hvilke data der ligger hvor.
- Leverandøraftalerne er ikke samlet. Der er flere IT-leverandører, og ingen ved præcis, hvad hver af dem har ansvaret for.
- Kunder og forsikring er begyndt at spørge. Spørgeskemaerne er svære at besvare, fordi svarene ikke står nogen steder.
- Politikken er fra en anden tid. Der findes en IT-sikkerhedspolitik, men den beskriver en virksomhed, der var halvt så stor.
Ét tegn er nok til at overveje en gennemgang. Flere på én gang er et tydeligt signal. Meget vejledning om IT-sikkerhed til virksomheder deler læserne op efter størrelse. Tegnene her handler om noget andet, nemlig hvor meget der hviler på enkeltpersoner.
Hvad kilderne siger om sammenhængen mellem vækst og sikkerhed
De ni nationale råd om digital sikkerhed fra Styrelsen for Samfundssikkerhed er skrevet til de mindste virksomheder, hvor ejeren eller en administrativ medarbejder selv håndterer den digitale sikkerhed, og hvor der ikke er en IT-sikkerhedsansvarlig. Rådene tager ifølge kilden ikke højde for særlig regulering. Når virksomheden har fået flere systemer, leverandører og krav udefra, er det en rimelig vurdering, at rådene stadig er et fundament, som en større organisation må bygge videre på.
D-mærket inddeler virksomheder i fire grupper efter størrelse, kompleksitet og risiko. Inddelingen viser, at kravene til styring vokser, når IT-kompleksiteten gør det, og når virksomheden får egne IT-medarbejdere.
Vokser virksomheden ind i en af de sektorer, NIS 2-loven omfatter, kan den blive omfattet, når den passerer lovens grænser for antal ansatte eller de økonomiske tærskler (§§ 4 og 5). Hvad det betyder at ligge lige under grænsen, står i lige under NIS2-grænsen.
Hvad en audit prioriterer først
En virksomhed, der er vokset fra sin IT, har sjældent brug for at gennemgå alt lige grundigt. Det er almindelig praksis at begynde med de områder, hvor afhængigheden af én person er størst:
- Overblik. En liste over systemer, data og leverandører, som flere end én kender.
- Adgange. Hvem har adgang, hvem har administratorrettigheder, og hvordan lukkes en konto, når nogen stopper?
- Backup og genetablering. Kan systemerne genetableres uden den ene person?
- Leverandøraftaler. Hvem har ansvaret for hvad, og står det skrevet?
- Ansvar. Hvem i ledelsen ejer IT-sikkerheden, og hvem udfører den?
Det sidste punkt er ofte det vigtigste. Når sikkerheden har vokset uformelt, er ansvaret sjældent placeret. En audit kan vise, hvor det mangler, og give ledelsen et grundlag for at beslutte, hvem der skal have det.
Skal udviklingen fremover måles over flere år, er det et spørgsmål om modenhed, og det behandles under hvordan sikkerhedsmodenhed måles over tid. For den mindre virksomhed er et IT-sikkerhedstjek ofte en passende første gennemgang.
Hvad det kræver, og hvad det koster at lade være
En audit i en virksomhed, der er vokset fra sin IT, kræver tid fra den person, der har holdt styr på det hele. Den person er ofte presset i forvejen, så det er værd at aftale, hvornår vedkommende kan være til rådighed. Derudover kræver det adgang til de leverandøraftaler, der findes, og til oversigter over brugere og systemer.
Uden gennemgang bliver risikoen ved med at vokse sammen med virksomheden. Den dag, den ene person stopper eller bliver syg, står virksomheden uden overblik, og den første hændelse bliver langt dyrere at håndtere, end den behøvede.
Det skal I lade være med
- At vente, til den ene person stopper · så er overblikket væk.
- At give den samme person hele opgaven igen · formålet er at flytte viden ud af ét hoved.
- At gennemgå alt lige grundigt · de områder, der hviler på én person, kommer først.
Det skal auditten kunne vise
- ☐ En liste over systemer, data og leverandører, som flere kender.
- ☐ Hvem der har adgang og administratorrettigheder, og hvordan konti lukkes.
- ☐ At backup kan gendannes uden en bestemt person.
- ☐ Hvem i ledelsen der ejer IT-sikkerheden.
Kilder
- Sikkerdigital.dk, “Råd om digital sikkerhed”, https://www.sikkerdigital.dk/virksomhed/raad-om-digital-sikkerhed, læst 12. november 2026.
- D-mærket, “Virksomhedsgrupper”, https://d-maerket.dk/da/bliv-d-maerket/virksomhedsgrupper, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4 og 5, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ingen IT-ansvarlig i huset · Ny direktør eller ny IT-ansvarlig
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
