Hvor ofte skal sikkerhedspolitikkerne gennemgås?

De fleste virksomheder klarer sig godt med en fast gennemgang af sikkerhedspolitikkerne én gang om året, suppleret med en ekstra gennemgang, når noget væsentligt ændrer sig. De typiske anledninger til en ekstra runde er en ny lov eller et nyt kundekrav, en alvorlig hændelse, et nyt forretningskritisk system eller en ny leverandør og en ændring i ejerskab eller organisation. Selve intervallet er mindre vigtigt end to andre ting: at gennemgangen faktisk sker, og at det kan ses bagefter, hvem der gennemgik hvad, og hvilken beslutning ledelsen traf.

Hvad reglerne siger om intervallet

NIS2-loven fastsætter ikke en bestemt frekvens. Loven kræver i § 6, stk. 1, nr. 1, at der findes politikker for risikoanalyse og informationssystemsikkerhed, og i § 7, stk. 1, at ledelsesorganet godkender foranstaltningerne og fører tilsyn med, at de gennemføres. En politik, der er ændret, er derfor et dokument, ledelsen skal godkende igen. Et tilsyn, der aldrig fører til, at politikken bliver læst igennem, er svært at forklare over for en myndighed.

ISO/IEC 27001 forlanger, at politikkerne gennemgås med planlagte mellemrum og ved væsentlige ændringer. Standarden overlader det til virksomheden at fastsætte mellemrummet. Den årlige gennemgang er blevet det almindelige valg, fordi den passer med risikovurderingen og budgettet.

Den faste gennemgang

Den faste gennemgang lægges i årshjulet, gerne kort efter at risikovurderingen er opdateret. Rækkefølgen giver mening. Politikken skal svare på de risici, virksomheden har nu, og de kendes først, når vurderingen er lavet.

Selve gennemgangen kan holdes enkel. For hver politik stilles fire spørgsmål:

1. Beskriver politikken stadig den virksomhed, vi er i dag, med de lokationer, systemer og leverandører, vi har?
2. Følges den i praksis, eller står der løfter, som ingen længere holder?
3. Er der kommet nye krav fra lovgivning, kunder eller forsikring, som politikken skal dække?
4. Er der undtagelser eller accepterede risici, der viser, at en regel bør skrives om?

Svaret ender i én af tre beslutninger. Politikken fortsætter uændret, den rettes, eller den udgår, fordi et andet dokument har overtaget indholdet. Også den uændrede politik får en ny dato og en note om, hvem der har gennemgået den. Det er netop den note, der viser, at gennemgangen fandt sted.

Hvem deltager? Sikkerhedslederen forbereder gennemgangen og skriver forslaget. Ejeren af hver politik bidrager med erfaringerne fra det forløbne år, og en eller to personer fra driften kan bekræfte, om reglerne faktisk følges. Direktøren godkender resultatet, og bestyrelsen orienteres eller godkender, afhængigt af hvordan ansvaret er fordelt. Det hele kan som regel klares på et par møder, når forarbejdet er gjort.

Begivenheder, der udløser en ekstra gennemgang

Mellem de faste gennemgange skal nogen holde øje med, om forudsætningerne har flyttet sig. Følgende begivenheder er gode grunde til at tage politikken frem uden for planen:

• En ny lov, bekendtgørelse eller vejledning, der rammer jeres branche eller jeres størrelse.
• En sikkerhedshændelse eller en nærvedhændelse, hvor evalueringen viser, at en regel manglede eller var uklar. Evalueringen er beskrevet under evaluering efter en hændelse.
• Et nyt system eller en ny leverandør, der ændrer, hvor data ligger, eller hvem der har adgang.
• En ny ejer, en fusion eller en større omorganisering, hvor ansvaret flytter.
• Et nyt kundekrav eller en ny forsikringsbetingelse, som politikken i dag ikke opfylder.

Det er sjældent nødvendigt at gennemgå hele dokumentsamlingen, fordi én begivenhed indtræffer. Som regel er det en eller to politikker, der berøres, og resten kan vente til den faste gennemgang.

Politik, retningslinje og procedure har forskellig rytme

Ikke alle sikkerhedsdokumenter skal gennemgås lige ofte. Ledelsens overordnede politik ændrer sig langsomt og kan fint følge den årlige rytme. Retningslinjer om fx adgang, backup og leverandører påvirkes oftere af nye systemer og bør have en ejer, der reagerer, når de bliver forældede. Procedurer for den enkelte medarbejder kan ændre sig fra måned til måned og bør rettes, når praksis ændres, uden at ledelsen skal godkende hver justering.

Fordelingen mellem niveauerne er beskrevet under politik, retningslinjer og procedurer. Hvem der ejer hvert dokument, står under hvem ejer hvilket sikkerhedsdokument.

Et tænkt eksempel

En produktionsvirksomhed på 40 medarbejdere, som bruger tre leverandører, har en informationssikkerhedspolitik fra for to år siden. Den nævner en lokal server, som er afløst af en cloudtjeneste, og en IT-ansvarlig, som er stoppet. Ved den årlige gennemgang konstaterer den eksterne CISO, at politikken i øvrigt holder, men at afsnittene om ansvar og om leverandører skal skrives om. Direktøren godkender rettelserne, bestyrelsen orienteres på næste møde, og den nye version erstatter den gamle med et versionsnummer og en kort ændringslog. Den gamle version gemmes, så det senere kan vises, hvad der gjaldt hvornår.

Det skal I lade være med

• At rette datoen uden at læse teksten. En ny dato på en uændret politik siger intet om, hvorvidt den stadig passer.
• At vente med alle ændringer til den årlige gennemgang. En hændelse eller et nyt system kan gøre en regel forkert fra den ene dag til den anden.
• At lade hver ændring gå til bestyrelsen. Procedurer og mindre retningslinjer kan rettes af ejeren inden for rammer, ledelsen har godkendt.
• At slette den gamle version. Uden historik kan I ikke vise, hvad medarbejdere og leverandører var forpligtet til på et bestemt tidspunkt.
• At lade gennemgangen afhænge af én persons hukommelse. Planen skal stå i årshjulet og ikke i nogens kalender alene.

Det skal I kræve af den eksterne

• ☐ En plan, der viser, hvornår hver politik senest blev gennemgået, og hvornår den står for tur.
• ☐ En kort indstilling til ledelsen ved hver gennemgang med forslag til ændringer og begrundelse.
• ☐ Overvågning af nye regler, kundekrav og forsikringsbetingelser, der kan kræve en ekstra gennemgang.
• ☐ Versionsnumre, ændringslog og opbevaring af tidligere udgaver i jeres egne systemer.
• ☐ Sammenhæng mellem politikkerne og den senest godkendte risikovurdering.

Sådan kommer I i gang

Lav en liste over jeres sikkerhedspolitikker med dato for seneste godkendelse og navnet på ejeren. Er der politikker, som ingen har læst i mere end et år, så start med dem, og læg resten ind i årshjulet. Mangler I en, der kan holde rytmen og forberede indstillingerne, kan en ekstern CISO overtage opgaven som en del af arbejdet med risiko og strategi. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kilder

• NIS2-loven (lov 434/2025) på retsinformation.dk: kravet om politikker i § 6, stk. 1, nr. 1, og ledelsesorganets pligt efter § 7, stk. 1, til at godkende og føre tilsyn.
• ISO/IEC 27001 (iso.org): standardens krav om gennemgang af politikker med planlagte mellemrum og ved væsentlige ændringer.

Senest gennemgået: november 2026.

Næste skridt

• Informationssikkerhedspolitik: indhold og underskrift
• Ledelsen skal godkende og føre tilsyn

Læs også: Undtagelser fra sikkerhedsreglerne · Årshjul for sikkerhedsarbejdet

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT