D-mærket er en dansk mærkningsordning, der samler IT-sikkerhed og ansvarlig brug af data i ét mærke. Over for kunder kan det fungere som et samlet bevis på, at sikkerhedsarbejdet er gennemgået af D-mærkets egne auditorer og bliver fulgt op hvert år. Mærket svarer bedst på kundens spørgsmål, når kunden spørger bredt til IT-sikkerhed og databeskyttelse og ikke har skrevet en bestemt standard ind i aftalen. Før I går i gang, bør ledelsen kende kriterierne, forløbet og den interne ejer.
Hvad mærket dækker
Ifølge D-mærkets egen beskrivelse er ordningen den første, der kombinerer IT-sikkerhed og ansvarlig dataanvendelse, og bag den står en række af landets store brancheorganisationer. Kriterierne bygger på internationale standarder og er samlet i otte overordnede områder:
- Styring og forankring i ledelsen
- Awareness og sikker adfærd
- Teknisk IT-sikkerhed
- Krav til leverandørers IT-sikkerhed og ansvarlige dataanvendelse
- Transparens og kontrol med data
- Privacy og security by design and default
- Pålidelige algoritmer og AI
- Dataetik
Alle virksomheder skal som minimum leve op til de første fem. Det sjette gælder virksomheder, der udvikler software, det syvende dem, der bruger eller udvikler algoritmer og AI, og det ottende gælder som udgangspunkt fra gruppe II og op. Det første kriterium handler blandt andet om at kortlægge virksomhedens data og systemer, og D-mærket anbefaler selv at begynde dér, fordi resten bygger på den kortlægning.
Bemærk, at ledelsen står øverst på listen. Mærket forudsætter, at sikkerhedsarbejdet er forankret hos dem, der bestemmer.
Kravene følger virksomhedens profil
Ved starten placeres virksomheden i en af fire grupper efter størrelse, forretningsmodel og brug af data og IT-tjenester. Gruppen afgør, hvilke kriterier og krav der gælder. D-mærket bruger selv låsesmeden som eksempel på en virksomhed, der skal opfylde færre krav end en stor IT-virksomhed.
Gruppe I rummer typisk mindre service- og rådgivningsvirksomheder med få enheder og administrative systemer leveret som tjenester. Gruppe II dækker blandt andet mindre produktionsvirksomheder og håndværksvirksomheder, der ofte har egne tilpassede systemer til driften. Grupperne III og IV favner de større og mere komplekse virksomheder. For softwarehuse og IT-leverandører er én detalje vigtig. Ifølge D-mærket kan en virksomhed blive løftet fra gruppe I eller II til gruppe III, fordi leverancer af software eller IT-tjenester giver en højere risikoprofil.
Tag produktionsvirksomheden med 40 ansatte, en ERP-løsning hos en ekstern udbyder og maskiner med egen styring. Den vil efter D-mærkets beskrivelse sandsynligvis høre til i gruppe II. Softwarehuset med fem udviklere kan derimod ende i gruppe III, selv om det har færre ansatte.
Forløbet fra selvevaluering til mærke
D-mærket beskriver forløbet i fem trin:
- Selvevaluering. Virksomheden besvarer spørgsmål i et onlineværktøj og ser, hvilke kriterier der gælder, og hvor der mangler noget.
- Anmodning om tilsyn. Minimumskravene er markeret med et M og skal være opfyldt, før tilsynet kan begynde. Øvrige krav skal besvares, men behøver ikke være opfyldt fra start.
- Tilsyn og kontrol. Efter et opstartsmøde uploader virksomheden dokumentation, som D-mærkets auditorer gennemgår i dialog med virksomheden.
- Tildeling. Mærket tildeles, når tilsynet er bestået.
- Gentildeling. Mærket gælder ét år ad gangen, og hvert år gennemgås selvevalueringen igen, og der anmodes om nyt tilsyn.
Den årlige rytme er en fordel over for kunder, fordi mærket viser, at nogen har set på arbejdet for nylig. Den kræver til gengæld, at nogen internt holder dokumentationen ved lige mellem tilsynene.
Hvornår mærket svarer på kundens spørgsmål
Mærket passer godt, når kunden spørger, om I har styr på IT-sikkerheden og jeres brug af data, og vil have et samlet svar fra en uafhængig part. Det gælder fx danske kunder, der i deres leverandørkrav nævner D-mærket eller “tilsvarende dokumentation”. Når kunden har skrevet ISO/IEC 27001-certificering ind i kontrakten, svarer mærket ikke på det krav, medmindre kunden skriftligt godtager det. Hvordan de to sammenlignes, står i ISO 27001 eller D-mærket.
Mærket kan også bruges som en del af en større pakke. Mange kunder sender stadig deres eget spørgeskema, og her kan svarene henvise til mærket og den dokumentation, der ligger bag. Sådan samles svarene, så de ikke skal skrives forfra hver gang, se Én samling dokumentation til mange kunder.
NIS2-modulet
D-mærket tilbyder et NIS2-modul, der kan vælges til i selvevalueringen. Ifølge ordningen bygger det på en sammenligning mellem D-mærkets kriterier og NIS2-direktivets krav, og modulet tilføjer de krav, mærket ikke dækkede i forvejen. Det kan give en struktur for arbejdet. Det fritager ikke ledelsesorganet fra at godkende foranstaltningerne og føre tilsyn efter § 7 i NIS2-loven, se NIS2 og ledelsens ansvar.
Hvem i virksomheden ejer arbejdet
Selvevalueringen kan udfyldes af én person, men svarene kræver viden fra ledelse, drift, HR og de leverandører, der har adgang til systemer og data. Kriterium 4 om krav til leverandører hænger tæt sammen med arbejdet beskrevet i Sikkerhedskrav til jeres IT-leverandør.
En CISO kan stå for selvevalueringen, samle dokumentationen, forberede tilsynet og holde det årlige forløb kørende. Ledelsen beslutter, om virksomheden skal søge mærket, godkender politikken og tager stilling til de krav, der ikke kan opfyldes med det samme.
Det skal I lade være med
- At starte selvevalueringen uden at have talt med kunderne · find først ud af, om mærket faktisk dækker det, de spørger om.
- At springe kortlægningen af data og systemer over · de senere kriterier bygger på den.
- At betragte mærket som et engangsprojekt · det skal fornyes hvert år.
- At sende mærket i stedet for at læse kundens spørgsmål · nogle spørgsmål kræver et konkret svar ud over mærket.
Det skal I kræve af den eksterne
- ☐ En vurdering af, om mærket svarer på jeres vigtigste kunders krav.
- ☐ En forventet placering i virksomhedsgruppe med begrundelse.
- ☐ En plan for minimumskravene frem mod tilsynet.
- ☐ Dokumentation, der også kan bruges i kundernes egne spørgeskemaer.
- ☐ En aftalt rytme for vedligehold mellem de årlige tilsyn.
Næste skridt er at samle de krav, jeres største kunder stiller i dag, og holde dem op mod D-mærkets kriterier.
Kilder
- D-mærket: Hvad er D-mærket?: ordningens formål og afsendere.
- D-mærket: Kriterier: de otte kriterier, og hvilke der gælder hvem.
- D-mærket: Virksomhedsgrupper: de fire grupper og løft af software- og IT-leverandører.
- D-mærket: Proces: selvevaluering, minimumskrav, tilsyn, tildeling og årlig gentildeling.
- D-mærket: NIS2: NIS2-modulet.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 7 om ledelsesorganets godkendelse og tilsyn.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISO 27001 i en mindre virksomhed · Kunden har sendt et sikkerhedsspørgeskema
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
