En anvendelseserklæring, på engelsk Statement of Applicability eller SoA, er en liste over de sikkerhedskontroller, som ISO/IEC 27001 opregner i sit bilag A, med virksomhedens stillingtagen til hver enkelt. For hver kontrol står der, om den er valgt, hvorfor den er valgt eller fravalgt, og hvor langt den er gennemført. Dokumentet er et krav for virksomheder, der vil certificeres efter standarden. Det kan også bruges uden certificering, fordi det giver ledelsen ét sted at se, hvilke beskyttelser virksomheden har bestemt sig for, og hvilke den bevidst har sagt nej til.
Hvad dokumentet indeholder
En anvendelseserklæring er som regel et regneark eller en tabel i et dokument. Hver linje er en kontrol, og kolonnerne svarer på de samme spørgsmål:
- Er kontrollen relevant for os? Ja eller nej.
- Hvorfor? En kort begrundelse, der henviser til en risiko, et lovkrav, et kundekrav eller en kontrakt.
- Hvordan er den gennemført? Henvisning til politik, retningslinje eller procedure.
- Hvor langt er vi? Fx gennemført, delvis gennemført eller planlagt.
- Hvem ejer den? Den person eller funktion, der svarer for kontrollen.
Kontrollerne i standardens bilag A dækker organisatoriske forhold, personer, fysisk sikkerhed og teknik. Listen er et katalog, som virksomheden vælger fra. Valget skal bygge på risikovurderingen, og derfor kan to virksomheder af samme størrelse ende med forskellige erklæringer.
Fravalg er ledelsesbeslutninger
Den del af dokumentet, ledelsen bør læse grundigst, er fravalgene. Når en kontrol markeres som ikke relevant, siger virksomheden i praksis, at den risiko, kontrollen skulle dække, enten ikke findes eller er acceptabel. Det er en risikobeslutning, og den skal begrundes.
Nogle fravalg er ukomplicerede. En virksomhed uden egen softwareudvikling kan med god grund fravælge kontroller om sikker udvikling. Andre fravalg bør vække spørgsmål. Fravælges kontroller om leverandørstyring eller om logning, fordi arbejdet er besværligt, er det en accepteret risiko i forklædning, og den hører hjemme i den formelle proces, som er beskrevet under hvem må acceptere en risiko.
Det samme gælder kontroller, der er valgt, men kun delvis gennemført. De viser afstanden mellem det, virksomheden har besluttet, og det, der faktisk er på plads. Hvis en kontrol har stået som delvis gennemført i flere kvartaler, er det et signal om, at den mangler ressourcer, en ejer eller en beslutning. Ledelsen kan bruge den oplysning til at prioritere eller til bevidst at acceptere, at arbejdet tager længere tid.
En god anvendelseserklæring gør det let at finde fravalgene. Den eksterne CISO kan samle dem på én side med begrundelserne, så ledelsen kan godkende dem samlet og se, om nogen af dem bør tages op igen.
Brug uden certificering
Mange mindre virksomheder har ingen planer om certificering. For dem kan anvendelseserklæringen stadig være et nyttigt redskab, af tre grunde.
For det første giver den et overblik, som ellers er spredt over mange dokumenter. Ledelsen kan på én side se, hvad der er på plads, og hvad der mangler, og kan bruge statuskolonnen til at følge fremdriften fra kvartal til kvartal.
For det andet kan den kobles til NIS2-lovens minimumskrav. Hver af de ti foranstaltninger i § 6, stk. 1, kan få en henvisning til de kontroller, der dækker den. Ledelsens godkendelse og tilsyn efter § 7, stk. 1, bliver lettere, når der findes en liste, der viser sammenhængen.
For det tredje gør den kundernes spørgeskemaer lettere at besvare. Mange spørgsmål svarer til kontroller i standarden, og svarene kan hentes direkte fra erklæringen. Hvordan svarene samles, så de kan genbruges, står under én samling dokumentation til mange kunder.
Erklæringen er også nyttig, når en ny direktør eller et nyt bestyrelsesmedlem skal sættes ind i sikkerhedsarbejdet, fordi den på få sider viser, hvad virksomheden har besluttet, og hvorfor.
Om certificering i det hele taget er det rigtige valg, er behandlet i ISO 27001 for mindre virksomheder.
Sammenhængen med risikovurderingen
Anvendelseserklæringen kan ikke stå alene. Den er resultatet af risikovurderingen og risikohåndteringen, og den skal opdateres, når de ændres. Er der kommet et nyt system, en ny leverandør eller en ny trussel, kan en kontrol, der før var fravalgt, blive relevant. Det omvendte kan også ske, når et system udfases.
Forestil jer et lille softwarehus, hvor fem udviklere arbejder, og hvor den største kunde forlanger dokumentation efter ISO 27001. Erklæringen viser, at kontrollerne om sikker udvikling er valgt og delvis gennemført, mens kontroller om fysisk adgang til et serverrum er fravalgt, fordi virksomheden ikke har noget serverrum. Kunden kan læse begrundelsen og acceptere den. Ledelsen kan se, at udviklingskontrollerne er dér, hvor planen skal sætte ind. Hvordan vurderingen bygges op, så ledelsen kan træffe beslutninger på den, står i risikovurdering for ledelsen.
Det skal I lade være med
- At kopiere en anden virksomheds erklæring. Den afspejler deres risici, og begrundelserne holder ikke hos jer.
- At markere alt som relevant for en sikkerheds skyld. Det giver et dokument, I ikke kan leve op til, og som en kunde eller revisor vil måle jer på.
- At skrive fravalg uden begrundelse. Et tomt felt er det første, en revisor spørger til.
- At lade statuskolonnen stå uændret i et år. Erklæringen mister sin værdi som overblik, når den ikke følger virkeligheden.
- At gemme den i en mappe, ledelsen aldrig åbner. Fravalgene er ledelsens beslutninger og skal forelægges.
Det skal I kræve af den eksterne
- ☐ En anvendelseserklæring, der bygger på jeres egen risikovurdering og ikke på en skabelon.
- ☐ En samlet side med fravalg og begrundelser til ledelsens godkendelse.
- ☐ Henvisning fra hver valgt kontrol til det dokument, der beskriver, hvordan den gennemføres.
- ☐ Kobling mellem kontrollerne og NIS2-lovens minimumskrav, hvis I er omfattet.
- ☐ Opdatering ved hver ny risikovurdering og ved væsentlige ændringer.
- ☐ Erklæringen gemt i jeres egne systemer med versionshistorik.
Næste skridt for ledelsen
Spørg, om virksomheden allerede har en anvendelseserklæring, og bed om at se fravalgene. Findes den ikke, kan den udarbejdes, når risikovurderingen er på plads, uanset om certificering er målet. Er det kundernes krav, der driver arbejdet, er udgangspunktet beskrevet under når kunderne stiller sikkerhedskrav. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- ISO/IEC 27001 (iso.org): standarden, der kræver en anvendelseserklæring som en del af risikohåndteringen og indeholder kontrolkataloget i bilag A.
- NIS2-loven (lov 434/2025) på retsinformation.dk: de ti foranstaltninger, loven som minimum kræver i § 6, stk. 1, og ledelsesorganets godkendelse efter § 7, stk. 1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISMS i en mindre virksomhed · Hvem må acceptere en risiko?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
