Forvaltning af aktiver betyder, at virksomheden ved, hvilke systemer, data og enheder den har, hvem der ejer dem, hvor vigtige de er, og hvad der sker med dem fra indkøb til bortskaffelse. Overblikket er en forudsætning for næsten alle andre sikkerhedskrav, fordi ingen kan vurdere risikoen ved, beskytte eller genskabe noget, de ikke ved findes. Listen ejes af én navngiven person, ofte den, der har CISO-rollen, mens de enkelte afdelinger svarer for deres egne linjer. Ledelsen skal sjældent se hele listen. Den skal se de kritiske aktiver, hvem der ejer dem, og hvor overblikket stadig har huller.
Hvad et aktiv er
Ordet aktiv bruges i sikkerhedsarbejdet om alt, der har værdi for virksomheden og skal beskyttes. Det dækker forretningssystemer som ERP, løn og webshop, data som kunderegister, tegninger og regnskab, udstyr som bærbare computere, telefoner og maskiner med styringer, og cloudtjenester, som virksomheden betaler for. Det dækker også de afhængigheder, der binder dem sammen, fx at lagersystemet henter ordrer fra webshoppen. Data, der ligger i en tjeneste hos en anden, er stadig virksomhedens aktiv, fx tegninger i en delt projektportal.
Forvaltning af aktiver er et af minimumskravene i NIS2-loven og nævnt i § 6, stk. 1, nr. 9. Ifølge Styrelsen for Samfundssikkerheds (SAMSIK) vejledning om implementering af foranstaltningerne skal virksomheden fastlægge, hvordan den forvalter de aktiver, der kan påvirke dens net- og informationssikkerhed, og fastsætte et passende beskyttelsesniveau for dem.
Hvorfor de andre krav hviler på listen
De fleste af de andre foranstaltninger i § 6 forudsætter, at listen findes. Risikovurderingen skal vide, hvad der kan rammes. Adgangsstyringen skal vide, hvilke systemer der skal have en godkender, se Adgangsstyring som politik. Driftskontinuiteten skal vide, hvilke systemer der skal op først efter et nedbrud. Leverandørstyringen skal vide, hvilke aktiver der ligger hos andre.
Uden listen bliver hver af disse opgaver løst med sin egen opgørelse, og opgørelserne stemmer sjældent overens. Med listen får alle samme udgangspunkt, og et nyt system bliver opdaget ét sted.
Hvad listen skal indeholde, og hvad den kan undvære
En mindre virksomhed har brug for en liste, der kan holdes ved lige. For hvert aktiv er disse felter som regel nok:
- Navn og kort beskrivelse.
- Ejer i forretningen, som svarer for, hvordan aktivet bruges, og hvem der må bruge det.
- Hvor det ligger, fx i eget serverrum, hos driftsleverandøren eller i en cloudtjeneste.
- Hvor vigtigt det er, på en enkel skala, der hænger sammen med virksomhedens dataklassifikation.
- Afhængigheder, altså hvilke andre systemer eller leverandører det ikke kan undvære.
Serienumre, licensnøgler og tekniske versioner kan ligge i leverandørens værktøjer. Det, virksomheden selv skal holde, er sammenhængen mellem aktiv, ejer og betydning. SAMSIK peger i vejledningen på, at en fortegnelse bør være komplet og retvisende, og at ændringer dokumenteres, så det kan ses, hvad der er ændret.
Hvem der ejer listen
Listen skal have én ejer, som holder den opdateret og får den gennemgået til tiden. I en virksomhed uden egen sikkerhedsfunktion er det naturligt, at den eksterne CISO har opgaven, men ejerskabet af de enkelte linjer ligger i forretningen. Økonomichefen svarer for økonomisystemet, produktionschefen for maskinstyringerne. IT-leverandøren bidrager med de tekniske oplysninger og melder ændringer, når der kommer nye servere eller tjenester.
Leverandøren kan sjældent være ejer af hele listen, fordi den kun ser det, den selv driver. Tjenester, som afdelingerne har købt direkte med et firmakort, kommer først med, når nogen i virksomheden spørger efter dem. Leverandørsiden af overblikket er beskrevet i Overblik over leverandører.
Det ledelsen skal se
Ledelsen har brug for en kort oversigt, gerne på én side:
- De ti til femten aktiver, som forretningen ikke kan undvære, med ejer og placering.
- Hvilke af dem der ligger hos eksterne leverandører.
- Aktiver uden ejer eller med ukendt status.
- Ændringer siden sidste gennemgang, fx nye cloudtjenester eller udfasede systemer.
Oversigten bruges, når ledelsen godkender risikovurderingen og beslutter, hvad der skal genskabes først efter et nedbrud, se Backup og reetablering. Første gang ledelsen ser oversigten, er de enkle spørgsmål ofte de mest nyttige. Hvilket af systemerne ville stoppe forretningen længst, hvis det forsvandt? Og hvem ringer vi til, hvis det sker en lørdag?
En årlig gennemgang plus en ekstra, når der sker store forandringer som et opkøb eller et nyt ERP-system, holder den retvisende.
Udstyrets livsforløb
Forvaltningen gælder hele forløbet. SAMSIK nævner instruktioner for håndtering ved anskaffelse, brug, opbevaring, transport og bortskaffelse, regler for flytbare medier og et krav om, at udleveret udstyr returneres eller slettes, når ansættelsen eller kontrakten ophører. For ledelsen er de to vigtige beslutninger, hvem der må købe nyt udstyr og nye tjenester, og hvordan gamle enheder slettes og dokumenteres, før de forlader huset.
Det skal I lade være med
- At bede IT-leverandøren om listen og betragte opgaven som løst. Leverandøren ser kun sin egen del.
- At gøre listen så detaljeret, at ingen opdaterer den. Fem felter, der er rigtige, slår tyve, der er forældede.
- At glemme tjenester købt uden om IT. De dukker ofte op først ved en hændelse.
- At lade aktiver stå uden ejer. Et system uden ejer får ingen beslutninger.
- At kassere udstyr uden dokumentation for sletning. Data kan følge med ud af døren.
Det skal I kræve af den eksterne
- ☐ En første liste over kritiske aktiver med ejer, placering og betydning.
- ☐ Et forslag til, hvem der ejer hver linje, til ledelsens godkendelse.
- ☐ En aftale med IT-leverandøren om at melde nye og udfasede aktiver.
- ☐ En kort oversigt til ledelsen og en årlig gennemgang i årshjulet.
- ☐ En procedure for returnering og sletning af udstyr ved fratrædelse og kassation.
Sådan begynder I
Spørg hver afdelingsleder, hvilke tre systemer eller tjenester afdelingen ikke kan arbejde uden, og hvem der betaler for dem. Svarene giver et udkast på en eftermiddag, som den eksterne CISO derefter kan supplere med leverandørens oplysninger og lægge frem for ledelsen.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 9 (forvaltning af aktiver).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 9.c om forvaltning af aktiver, herunder fortegnelse, beskyttelsesniveauer, livscyklus og returnering ved ophør.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra i.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Adgangsstyring som politik · Risikoanalysemetode
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
