Det er forretningen, der bestemmer, hvad der er fortroligt. Den afdeling eller leder, der ejer oplysningerne, kender bedst konsekvensen, hvis de bliver lækket, ændret eller utilgængelige, og bør derfor fastsætte niveauet. CISO’en udformer ordningen, og ledelsen godkender den. Tre eller fire niveauer er nok i de fleste virksomheder. Hvert niveau skal have en klar betydning for, hvem der må se oplysningerne, hvordan de må deles, og hvor de må opbevares. Uden den betydning er klassifikationen blot en mærkat.
Hvad dataklassifikation er
Dataklassifikation betyder, at virksomhedens oplysninger inddeles efter, hvor stor skade det vil gøre, hvis de kommer i de forkerte hænder, bliver ændret eller ikke er til rådighed. Styrelsen for Samfundssikkerhed beskriver klassifikation som en inddeling af information og systemer efter organisationens behov for sikkerhed, med udgangspunkt i fortrolighed, integritet og tilgængelighed. I vejledningen til NIS2-lovens § 6, stk. 1, nr. 9, om forvaltning af aktiver nævnes en procedure for at fastsætte klassifikationsniveauer som et af elementerne.
For ledelsen er pointen enkel. Uden klassifikation behandles alle oplysninger ens. Enten beskyttes alt for lidt, eller alt beskyttes så meget, at arbejdet bliver besværligt, og medarbejderne finder veje udenom.
Få niveauer er bedre end mange
Mange ordninger starter med fem eller seks niveauer og ender med, at ingen kan huske forskellen. Tre niveauer dækker de fleste mindre og mellemstore virksomheder.
- Offentlig. Oplysninger, der må deles med alle, fx materiale fra hjemmesiden og offentliggjorte priser.
- Intern. Oplysninger til brug i virksomheden, som ikke gør stor skade, hvis de slipper ud, fx interne nyheder og de fleste arbejdsdokumenter.
- Fortrolig. Oplysninger, der kan skade virksomheden, kunder eller medarbejdere, hvis de slipper ud, fx personoplysninger, kundekontrakter, tegninger, tilbud og regnskabstal før offentliggørelse.
Har virksomheden enkelte oplysninger, der kræver særlig beskyttelse, fx helbredsoplysninger eller forretningshemmeligheder af stor værdi, kan et fjerde niveau give mening. Er det tilfældet, bør det være lille og tydeligt afgrænset.
Et eksempel er en rådgivende ingeniørvirksomhed med 45 ansatte. Tilbud og tegninger til kunder er fortrolige, projektnotater er interne, og referencelisten på hjemmesiden er offentlig. Det kan forklares på en side. Udgangspunktet bør være intern. Det betyder, at alt, der ikke er mærket, behandles som internt. Så skal medarbejderne kun tage aktivt stilling, når noget er offentligt eller fortroligt.
Forretningen ejer klassifikationen
IT-leverandøren ved, hvor oplysningerne ligger, men ikke hvad de betyder. Salgschefen ved, hvilke tilbud der ville skade virksomheden i en konkurrents hænder. Produktionschefen ved, hvilke tegninger der er forretningshemmeligheder. HR ved, hvilke personoplysninger der er følsomme.
Derfor er det de ansvarlige ledere, der klassificerer oplysningerne i deres eget område. CISO’en hjælper med at stille spørgsmålene og sikrer, at niveauerne bruges ens på tværs af afdelingerne. Klassifikationen hænger tæt sammen med overblikket over systemer og data, som er beskrevet under forvaltning af aktiver.
Hvad niveauet betyder i praksis
Klassifikationen skal styre konkrete regler. Ellers har den ingen virkning.
- Adgang. Fortrolige oplysninger er kun tilgængelige for dem, der har brug for dem i deres arbejde. Hvordan det besluttes, står i adgangsstyring som politik.
- Deling. Fortrolige oplysninger sendes kun til eksterne gennem kanaler, virksomheden har godkendt, og kun til modtagere, der har en aftale om fortrolighed.
- Opbevaring. Fortrolige oplysninger ligger kun i systemer, som virksomheden har godkendt til niveauet, og ikke på private drev eller i private konti.
- Beskyttelse. Kravene til kryptering kan knyttes til niveauerne. Det er beskrevet i kryptografipolitik.
- Nye tjenester. Hvilke oplysninger der må bruges i AI-tjenester og andre nye værktøjer, kan afgøres ud fra niveauet, som vist i generativ AI i virksomheden.
- Arbejde uden for kontoret. Niveauet afgør, hvor oplysningerne må behandles, som beskrevet i hjemmearbejde og rejser.
Mærkning uden bureaukrati
Det er sjældent nødvendigt at mærke hvert dokument. Ofte er det mere effektivt at klassificere systemer og mapper. Lønsystemet er fortroligt. Mappen med kundekontrakter er fortrolig. Intranettet er internt. Så arver indholdet niveauet fra stedet, det ligger.
Enkelte dokumenter, der sendes ud af huset, kan have en mærkning i sidehoved eller emnefelt. Mange kontorprogrammer kan understøtte det, men værktøjet er sekundært. Det afgørende er, at medarbejderne kender de tre niveauer og ved, hvad de betyder for dem.
Det skal I lade være med
- At indføre mange niveauer. Ingen kan huske forskellen, og ordningen bliver ikke brugt.
- At lade IT klassificere forretningens oplysninger. De kender ikke konsekvenserne.
- At klassificere uden at knytte regler til niveauerne. Så ændrer mærkaten intet.
- At mærke alt som fortroligt. Det udvander niveauet og gør arbejdet tungt.
- At købe et klassifikationsværktøj før ordningen. Værktøjet skal understøtte jeres beslutninger.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne lave en ordning, som medarbejderne kan forstå på fem minutter, og skal kunne hjælpe lederne med at klassificere uden at tage beslutningen fra dem. Forslag til værktøjer bør komme fra en rådgiver, der ikke har provision på dem.
- ☐ Et forslag til tre eller fire niveauer med eksempler fra jeres egen virksomhed.
- ☐ En kort workshop med de ansvarlige ledere om deres oplysninger.
- ☐ En liste over systemer og mapper med deres niveau.
- ☐ Regler for adgang, deling og opbevaring knyttet til hvert niveau.
- ☐ En side til medarbejderne, der forklarer niveauerne.
- ☐ En plan for, hvornår klassifikationen tages op igen.
Sådan kommer I i gang
Lad CISO’en lave et udkast til niveauerne og godkend det i direktionen. Bed derefter hver afdelingsleder om at klassificere de fem vigtigste systemer eller mapper i deres område. Resultatet bliver en del af risikovurdering og sikkerhedsstrategi og af de sikkerhedsregler for medarbejderne, som forklarer niveauerne i hverdagssprog.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 9, om personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025: definitionen af klassifikation og proceduren for klassifikationsniveauer under forvaltning af aktiver.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Adgangsstyring som politik · Generativ AI i virksomheden
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
