Hos en entreprenør eller en anlægsvirksomhed foregår en stor del af IT-arbejdet uden for virksomhedens egne mure: i fælles projektrum, på delte drev, i skurvogne og på telefoner og tablets på byggepladsen. Sikkerhedsledelsen skal derfor have et klart svar på tre spørgsmål for hvert projekt. Hvem ejer projektets data og adgange? Hvilke krav stilles til underentreprenører og rådgivere? Og hvem sørger for, at adgangene lukkes og data arkiveres, når projektet er afleveret? Svarene skal stå i virksomhedens regler, så de ikke afhænger af den enkelte projektleder.
Projektet som en midlertidig organisation
Et byggeprojekt samler bygherre, rådgivere, hovedentreprenør, underentreprenører og leverandører i en periode på måneder eller år. Parterne deler tegninger, modeller, tidsplaner, økonomi og fotodokumentation, ofte i en projektportal eller et delt drev, som en af parterne har oprettet. Når projektet slutter, går parterne hver til sit, men adgangene og kopierne bliver ofte liggende.
Set fra sikkerhedsledelsen giver det tre risici. Fortrolige oplysninger, fx tegninger af sikringsanlæg eller tilbudsgrundlag, kan ende hos personer, der ikke længere har brug for dem. Adgange til virksomhedens egne systemer, givet til en underentreprenør i en travl periode, bliver ikke lukket. Og når en ekstern part bliver ramt af et angreb, kan det sprede sig via de fælles tjenester.
Hvem ejer adgangene?
Den vigtigste beslutning er, hvem der ejer de fælles rum. Er det virksomheden selv, der opretter projektportalen, er det også virksomheden, der skal styre, hvem der kommer ind, og hvornår de skal ud igen. Er det bygherren eller en rådgiver, der ejer rummet, skal virksomheden vide, hvilke af dens egne medarbejdere der har adgang, og hvad de lægger derind.
En praktisk regel er, at hvert projekt har en navngiven adgangsansvarlig, typisk projektlederen, som godkender nye brugere og gennemgår listen ved faste milepæle. Sikkerhedslederen fastsætter reglen og følger op på, om den bliver fulgt. Principperne for adgang er beskrevet under adgangsstyring som politik.
Byggepladsen som arbejdsplads
På byggepladsen bruges telefoner, tablets og bærbare computere i skurvogne med en midlertidig internetforbindelse, og udstyret flytter fra projekt til projekt. Ledelsen bør tage stilling til, hvilke data der må ligge lokalt på udstyret, hvordan det beskyttes, hvis det bliver stjålet, og hvem der har ansvaret for netværket i skurvognen. Det er beslutninger om regler, og de kan ofte løses enkelt. Det afgørende er, at de er truffet, og at formændene kender dem. Hvilke oplysninger der skal beskyttes mest, kan afgøres med en enkel dataklassifikation.
Udstyret bør også registreres, så virksomheden ved, hvilke enheder der er i brug på hvilke pladser, og hvem der har dem. Når en tablet flytter fra et afsluttet projekt til et nyt, skal den gamle projektadgang fjernes, før den bruges igen. Det samme gælder netværksudstyr og kameraer, der sættes op midlertidigt og ofte glemmes, når pladsen ryddes. En kort tjekliste til formanden ved oprydningen kan tage sig af det.
Krav til de andre parter
Virksomheden kan ikke styre underentreprenørernes IT, men den kan stille krav i aftalerne. Det kan være krav om, at parten kun bruger de adgange, der er givet til projektet, at hændelser, der kan berøre projektets data, meldes inden for en aftalt frist, og at data slettes eller returneres ved projektets afslutning. Kravene bør være proportionale. En lille murermester bør kunne nøjes med at bekræfte nogle få grundregler frem for at udfylde et spørgeskema på tyve sider.
Hvordan krav formuleres og følges op over for leverandører, står under leverandørstyring på sikkerhed og sikkerhedskrav til IT-leverandøren.
Bygherrer, der selv er omfattet af NIS2, fx forsyningsselskaber eller havne, kan stille sikkerhedskrav til deres entreprenører. Bygge og anlæg er ikke nævnt som sektor i NIS2-lovens bilag, så kravene kommer typisk gennem kontrakten. Hvordan man læser sådanne krav, er beskrevet på nis2-pentest.dk. Hvordan kravene håndteres internt, står under sikkerhedskrav i kundekontrakten.
Når projektet slutter
Afleveringen er det tidspunkt, hvor de fleste adgange bliver glemt. Sikkerhedslederen kan lægge et fast punkt ind i virksomhedens afleveringsprocedure:
- Gennemgå listen over eksterne brugere i virksomhedens systemer og luk dem, der hørte til projektet.
- Bekræft, at virksomhedens egne medarbejdere er fjernet fra fælles rum, de ikke længere skal bruge.
- Arkivér projektets dokumentation et kendt sted og i den periode, kontrakter og regler kræver.
- Bed underentreprenører og rådgivere bekræfte, at projektdata er slettet eller returneret, hvor det er aftalt.
- Registrér, at punkterne er gennemført, og hvem der har gjort det.
Et tænkt eksempel
En entreprenør med 120 ansatte har typisk ti projekter i gang. Ved en gennemgang finder den eksterne sikkerhedsleder, at virksomhedens fildeling har over hundrede eksterne brugere, og at en del af dem tilhører projekter, der er afleveret for år tilbage. Direktionen beslutter, at alle eksterne adgange knyttes til et projektnummer og udløber automatisk ved aflevering, og at projektlederen skal bekræfte lukningen som en del af afleveringen. Status rapporteres til direktionen hvert kvartal.
Det skal I lade være med
- At lade hver projektleder opfinde sine egne regler for adgang og deling.
- At give underentreprenører brede adgange, fordi det er hurtigere end at oprette de rigtige.
- At glemme adgangene ved afleveringen. Projektet slutter, men kontiene lever videre.
- At stille de samme omfattende krav til alle parter. Små underentreprenører skal have få og klare krav.
- At gå ud fra, at bygherrens projektrum er bygherrens problem. Jeres egne data ligger også dér.
Det skal I kræve af den eksterne
- ☐ Fælles regler for adgang, deling og arkivering i projekter, som projektlederne kan bruge.
- ☐ Et sæt proportionale sikkerhedskrav til underentreprenører og rådgivere.
- ☐ Et punkt om adgange og data i afleveringsproceduren.
- ☐ Regler for udstyr og netværk på byggepladsen.
- ☐ Fast opfølgning på eksterne brugere og en kort status til direktionen.
Hvad I kan gøre nu
Vælg ét afsluttet projekt, og undersøg, om der stadig er eksterne brugere med adgang til jeres systemer, og om jeres egne folk stadig har adgang til andres. Resultatet viser, om afleveringsproceduren trænger til et sikkerhedspunkt. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- NIS2-loven (lov 434/2025) på retsinformation.dk: sektorlisterne i bilag 1 og 2, hvor bygge og anlæg ikke er nævnt som sektor, og bygherrernes egne krav til leverandørkæden, når de er omfattet (§ 6, stk. 1, nr. 4).
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når en medarbejder stopper · Sikkerhedsledelse i transport og logistik
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
