Grundlæggende cyberhygiejne: de vaner, ledelsen skal kræve

Ledelsen skal fastsætte en kort minimumsstandard for de daglige sikkerhedsvaner og kræve, at den gælder overalt i virksomheden, også hos leverandørerne og i direktionen. Standarden fylder en side og dækker opdateringer, adgange, login, backup og medarbejdernes viden. For hvert punkt skal der være en ejer og et tal, som viser, om vanen bliver fulgt. Så kan ledelsen se afvigelserne i den faste rapport i stedet for at gætte.

Hvad loven siger om cyberhygiejne

Punkt 7 på lovens liste, § 6, stk. 1, nr. 7, omfatter grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse som et af minimumsområderne. Ledelsesorganet har efter § 7, stk. 1, pligt til at godkende og følge op. Efter § 7, stk. 2, skal medlemmerne af ledelsen selv på kursus i styring af cybersikkerhedsrisici, og de skal arbejde for, at også de øvrige ansatte får et tilsvarende tilbud.

SAMSIK forklarer i implementeringsvejledningen, at cyberhygiejne dækker de grundlæggende foranstaltninger og daglige vaner, der beskytter mod almindelige trusler. Vejledningen giver en liste over fundamentale tiltag med henvisning til de andre kapitler. Listen viser, at cyberhygiejne trækker på næsten alle de øvrige minimumsområder. Den er fundamentet, som de mere avancerede foranstaltninger hviler på.

En minimumsstandard på én side

Ledelsens opgave er at gøre listen konkret for virksomheden og beslutte, at den er gældende. Et forslag til punkter, bygget på emnerne i SAMSIK’s vejledning:

1. Opdateringer. Styresystemer og programmer opdateres inden for en fast frist, og kritiske opdateringer hurtigere.
2. Beskyttelse mod skadelig software på alle pc’er og servere, der understøtter det.
3. Multifaktorautentificering på mail, fjernadgang, administratorkonti og vigtige cloudtjenester.
4. Begrænsede administratorrettigheder. Almindelige brugere arbejder uden administratoradgang, og administratorkonti bruges kun til administration.
5. Stærke adgangskoder og en adgangskodeadministrator, som virksomheden har godkendt.
6. Backup, der er adskilt fra de systemer, den beskytter, og som prøves af.
7. Overblik over udstyr og software, så ukendte enheder bliver opdaget.
8. Opdeling af netværket, så fx produktionsudstyr og gæstenet er adskilt fra kontoret.
9. Uddannelse, så alle ved, hvordan de genkender svindel og melder noget mistænkeligt.

Punkterne skal formuleres, så de kan kontrolleres. En sætning som “systemerne skal være opdaterede” giver ingen målestok, mens “sikkerhedsopdateringer installeres senest 14 dage efter udgivelse” kan følges i en rapport.

Hvem der ejer vanerne

Hos en maskinfabrik med 60 ansatte og outsourcet drift ligger de fleste vaner i praksis hos driftsleverandøren. Det ændrer ikke på, at virksomheden har ansvaret. Standarden skal derfor ind i leverandøraftalen som et krav, med en pligt for leverandøren til at rapportere afvigelser. Formuleringen af kravene er gennemgået under krav i leverandøraftalen.

Andre vaner ligger hos medarbejderne og deres ledere, fx at melde mistænkelige mails og ikke dele adgangskoder. De vaner kræver regler, som medarbejderne kan forstå, og en indsats for at holde viden ved lige. Reglerne er emnet i Sikkerhedsregler for medarbejderne, og uddannelsen under awareness-træning.

Sådan får ledelsen at vide, om vanerne følges

En standard uden måling bliver en hensigtserklæring. Hvert punkt bør derfor have ét tal, som ejeren leverer til den faste rapport:

• andel af pc’er og servere med alle sikkerhedsopdateringer inden for fristen
• andel af konti med multifaktorautentificering, og hvilke der mangler
• antal personer med administratorrettigheder sammenlignet med sidste kvartal
• dato for seneste vellykkede genskabelse fra backup
• andel af medarbejdere, der har gennemført årets træning

Tallene skal kunne følges over tid. Opbygningen af et lille sæt tal er beskrevet under nøgletal. Når et tal ligger under målet, skal rapporten sige hvorfor, og hvornår det er rettet. En gang om året bør ledelsen også se på, om standarden selv skal skærpes. Nye trusler, nye systemer eller en hændelse i året kan betyde, at et punkt skal tilføjes, eller at en frist skal gøres kortere. Beslutningen om at ændre standarden træffes af ledelsen og skrives i referatet sammen med datoen for ikrafttræden.

Ledelsen følger de samme regler

En minimumsstandard mister hurtigt sin vægt, hvis direktøren har fået en undtagelse fra multifaktorautentificering, eller hvis ejerens private tablet har adgang til økonomisystemet. Ledelsen bør beslutte, at standarden gælder for alle uden personlige undtagelser. Er der brug for en undtagelse af forretningsmæssige grunde, skal den være tidsbegrænset, begrundet og registreret.

Det skal I lade være med

• At skrive en standard, ingen kan måle. Vage formuleringer giver ingen styring.
• At antage, at leverandøren følger vanerne, fordi de er sund fornuft. Krav, der mangler i aftalen, er svære at håndhæve.
• At gøre cyberhygiejne til et rent IT-emne. Flere af vanerne afhænger af medarbejdernes adfærd.
• At give ledelsen undtagelser. Konti i ledelsen er ofte dem med de bredeste adgange.
• At gentage den samme træning år efter år. Indholdet skal følge de trusler, virksomheden faktisk møder.

Det skal I kræve af den eksterne

• ☐ Et udkast til minimumsstandard på én side, tilpasset jeres systemer og leverandører.
• ☐ Et måletal og en ejer for hvert punkt.
• ☐ Forslag til formuleringer, der bringer standarden ind i leverandøraftalerne.
• ☐ En kvartalsvis status med afvigelser og en dato for, hvornår de er rettet.
• ☐ En liste over godkendte undtagelser, hver med grund og slutdato.

Cyberhygiejnen er ét af ti minimumsområder, og overblikket over dem står under ledelsens NIS2-ansvar. Næste skridt er at spørge jeres driftsleverandør, hvor mange konti der i dag mangler multifaktorautentificering, og hvilke de er.

Kilder

• NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 7 (cyberhygiejne og uddannelse), § 7, stk. 1 (godkendelse og tilsyn), § 7, stk. 2 (kurser for ledelsen og tilskyndelse til kurser for de ansatte).
• SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 7 om cyberhygiejnepraksisser og cybersikkerhedsuddannelse, herunder listen over fundamentale tiltag.
• NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra g.

Senest gennemgået: november 2026.

Næste skridt

• NIS2 og ledelsens ansvar for cybersikkerhed
• Awareness-træning: hvad ledelsen skal bestille og følge op på

Læs også: MFA og sikker kommunikation: hvor ledelsen skal beslutte kravet · Undtagelser fra sikkerhedsreglerne: hvem må give dem, og hvor længe?

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT