En adgangskontrolpolitik er ledelsens beslutning om, hvordan virksomheden tildeler, ændrer og fjerner adgang til systemer, data og lokaler. Den fastlægger nogle få principper, udpeger de personer i forretningen, der godkender adgang til hvert område, og bestemmer, hvor ofte rettighederne gennemgås, og hvem der får resultatet at se. CISO-rollen skriver udkastet, holder øje med, at politikken bliver fulgt, og rapporterer afvigelser. Selve opsætningen af rettigheder ligger hos IT-leverandøren eller driften og hører hjemme i procedurerne under politikken.
Hvad loven og vejledningen forventer
Adgangskontrolpolitikker står i § 6, stk. 1, nr. 9, i NIS2-loven, side om side med personalesikkerhed og forvaltning af aktiver. Efter § 7, stk. 1, godkender ledelsesorganet foranstaltningerne og fører tilsyn med gennemførelsen. Ifølge implementeringsvejledningen fra Styrelsen for Samfundssikkerhed (SAMSIK), udgivet i juni 2025, skal politikken administrere tildeling, ændring og fjernelse af adgangsrettigheder og som minimum vurdere risici ved både logisk og fysisk adgang, altså adgang til systemer og til bygninger. Vejledningen nævner også styring af privilegerede rettigheder og gennemgang af politikker og procedurer med planlagte mellemrum.
Teksten her er ikke juridisk rådgivning, og NIS2 og ledelsens ansvar giver overblikket over resten af ledelsens pligter.
Tre principper, ledelsen fastsætter
En politik, der kan læses på to sider, bygger som regel på tre principper. Ledelsen bør kunne forklare hvert af dem med egne ord.
- Mindst mulige rettigheder. Hver medarbejder, leverandør og hvert system får den adgang, opgaven kræver, og intet ud over det. En ny rolle starter fra bunden og arver ikke en kollegas rettigheder.
- Adgangen følger funktionen. Rettigheder tildeles efter rolle, fx bogholder, lagerleder eller servicetekniker, så omfanget afgøres af rollebeskrivelsen frem for af den enkelte forespørgsel.
- Personlige konti. Alle logger ind med egen identitet, også leverandører og vikarer, så det bagefter kan ses, hvem der gjorde hvad. Fælles konti tillades kun med en skriftlig begrundelse og en navngiven ansvarlig.
Principperne udfolder informationssikkerhedspolitikken og skal passe til den. Hvad den overordnede politik indeholder, står i Informationssikkerhedspolitik.
Hvem der godkender en adgang
Den svære del af politikken er placeringen af godkendelsen. IT kan teknisk give en adgang, men kan sjældent vurdere, om en sælger skal kunne se lønregnskabet. Politikken bør derfor for hvert vigtigt område angive en godkender i forretningen, typisk lederen af den afdeling, der ejer dataene. Godkenderen tager stilling til nye adgange og ændringer, og IT udfører først ændringen, når godkendelsen foreligger skriftligt, fx som en sag i leverandørens system.
For at kunne pege på områderne skal virksomheden vide, hvilke systemer og data den har. Det overblik er beskrevet i Forvaltning af aktiver. I en grossistvirksomhed med 60 ansatte kan listen over godkendere være kort: økonomichefen for økonomi og løn, salgschefen for kunderegister og webshop, lagerchefen for lagersystemet og direktøren for ledelsens egne mapper.
Eksterne hører med. Driftsleverandøren, revisoren og leverandøren af ERP-systemet har ofte konti, og politikken bør angive, hvem i virksomheden der godkender deres adgang, og at adgangen udløber, når opgaven er slut. Leverandørernes adgange kan samles i overblikket over leverandører.
De særlige rettigheder
Administratorrettigheder, retten til at oprette brugere og adgangen til at ændre sikkerhedsopsætningen har de største konsekvenser, hvis en konto bliver misbrugt. Ledelsen bør derfor fastsætte strengere regler for dem: få personer, en begrundelse pr. konto, adskilte konti til administration og dagligt arbejde og hyppigere gennemgang. Ledelsens egne konti følger samme regler som alle andres. Har direktøren administratorrettigheder fra dengang, virksomheden havde otte ansatte, er det en beslutning, ledelsen skal træffe på ny.
Afvigelser fra principperne bør gå gennem den samme proces som andre undtagelser fra sikkerhedsreglerne, med begrundelse, ejer og udløbsdato, se Undtagelser fra sikkerhedsreglerne.
Den faste gennemgang
Rettigheder vokser med tiden. Folk skifter afdeling, projekter slutter, og vikarer går. Politikken bør derfor fastsætte en gennemgang, hvor godkenderne bekræfter, at adgangene i deres område stadig er rigtige. Hyppigheden kan følge risikoen. En mulig fordeling er hvert kvartal for administratorer og for systemer med personoplysninger eller betalinger og en gang om året for resten. Det afgørende er, at frekvensen er besluttet og skrevet ned.
Gennemgangen bliver først et grundlag for ledelsens tilsyn, når resultatet rapporteres. CISO-rollen kan samle det i få tal: hvor mange områder der er gennemgået til tiden, hvor mange adgange der blev fjernet, og hvilke afvigelser der står åbne. Fratrædelser har deres egen arbejdsgang, som er behandlet i Når en medarbejder stopper.
En sikkerhedstest kan vise, hvad for brede rettigheder betyder i praksis, og den vinkel er beskrevet på sikkerhedstesten.dk. Politikken og gennemgangen er virksomhedens egen faste rutine, uanset om der testes.
Det skal I lade være med
- At lade politikken beskrive teknik. Navne på værktøjer og opsætninger skifter og hører til i procedurerne.
- At give IT ansvaret for at vurdere behovet. Forretningen kender opgaven og må tage stilling.
- At kopiere en kollegas rettigheder ved ansættelse. Gamle fejl følger så med over i den nye rolle.
- At undtage ledelsen. De mest værdifulde konti skal leve op til de samme regler.
- At beslutte en gennemgang uden at spørge efter resultatet. Uden opfølgning glider den ud af kalenderen.
Det skal I kræve af den eksterne
- ☐ Et udkast til politikken på højst et par sider med principper, godkendere og frekvens.
- ☐ En liste over områder og godkendere, som ledelsen kan rette i.
- ☐ Særlige regler for privilegerede rettigheder og en optælling af, hvor mange der har dem.
- ☐ En plan for den første gennemgang med dato og ansvarlige.
- ☐ En kort rapport efter hver gennemgang til ledelsens næste tilsynsmøde.
- ☐ Henvisning til § 6, stk. 1, nr. 9, og til SAMSIK’s vejledning, så ledelsen kan se grundlaget.
Første skridt
Bed om en optælling af konti med administratorrettigheder og en liste over de fem vigtigste systemer med navnet på den, der i dag godkender adgang til dem. Hvor der ikke står et navn, har I det første punkt til politikken. Den eksterne CISO kan derefter skrive udkastet, så det kan godkendes på et af de næste ledelsesmøder.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 9 (adgangskontrolpolitikker), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 9.b om adgangskontrol, herunder privilegerede rettigheder og gennemgang med planlagte mellemrum.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra i, om adgangskontrolpolitikker.
Senest gennemgået: november 2026.
Næste skridt
- NIS2 og ledelsens ansvar for cybersikkerhed
- Forvaltning af aktiver: overblik over systemer, data og udstyr
Læs også: Hvem må acceptere en risiko? · Personalesikkerhed: fra ansættelse til sidste arbejdsdag
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
