Informationssikkerhed handler om at beskytte virksomhedens oplysninger, uanset om de ligger i et system, i en mappe eller i en medarbejders hoved. IT-sikkerhed og cybersikkerhed handler om de digitale dele af det samme. Ordene bruges ofte i flæng, og det er sjældent en katastrofe i en samtale. I et styringsdokument er det anderledes, for ordet afgør, hvad dokumentet dækker, og dermed hvem der opfatter opgaven som sin. Kalder I det IT-sikkerhed, lander det hos IT. Artiklen forklarer forskellen og giver et forslag til én formulering, ledelsen kan bruge i alle dokumenterne.
Tre ord med hver sin rækkevidde
Informationssikkerhed er det bredeste. En vejledning til SMV’er om ISO/IEC 27001 fra den europæiske organisation DIGITAL SME, som ligger på sikkerdigital.dk, beskriver det som beskyttelse af oplysninger, der kan opbevares på papir, på computere eller endda af mennesker. Beskyttelsen måles på tre egenskaber, og Styrelsen for Samfundssikkerhed (SAMSIK) forklarer dem sådan i sin ordliste. Fortrolighed betyder, at kun de rette har adgang. Integritet betyder, at oplysningerne er nøjagtige og uændrede. Tilgængelighed betyder, at de er der, når de skal bruges.
IT-sikkerhed har vi ikke fundet en officiel dansk definition på. I daglig tale dækker det beskyttelsen af virksomhedens egne systemer: servere, pc’er, adgange, backup og opdateringer. Det er den betydning, vi bruger her.
Cybersikkerhed har ifølge samme SMV-vejledning ingen formel definition og minder i betydning om informationssikkerhed, men anses ofte for at omfatte de mest tekniske aspekter af den. Ordet bruges typisk, når truslen kommer via internettet og andre digitale forbindelser. Dansk lov har dog en definition til sit eget brug.
Sådan bruger loven ordet
NIS2-loven definerer i § 3, nr. 3, cybersikkerhed som de aktiviteter, der skal til for at beskytte net- og informationssystemer, dem, der bruger systemerne, og andre, som cybertrusler berører. Definitionen gælder altså også mennesker, og den er bredere end det tekniske.
Læg mærke til, hvad lovens foranstaltninger omfatter. § 6, stk. 1, tæller også personalesikkerhed, uddannelse, leverandørforhold og krisestyring. SAMSIK skriver, at loven tager udgangspunkt i alle farer, og nævner tekniske og menneskelige fejl, skybrud og bevidste angreb. Lovens “cybersikkerhed” kan derfor ikke lægges fra sig som en teknisk opgave, selv om ordet lyder sådan. Vejledningen taler flere steder om cyber- og informationssikkerhed i samme åndedrag.
Andre regler går længere. Datatilsynets vejledning om brud på persondatasikkerheden har et eksempel, hvor et papirregister med personoplysninger bliver stjålet, og det regnes som et brud. Der er ingen computer involveret, og det ville falde uden for de fleste IT-sikkerhedspolitikker.
Hvorfor ordet ændrer, hvem der ejer opgaven
Det følgende er vores vurdering. Ordet i overskriften sender et signal om ejerskab:
- “IT-sikkerhedspolitik” · læses som IT’s dokument. IT-leverandøren forventes at holde det, og HR, jura og salg føler sig ikke berørt.
- “Cybersikkerhed” · læses som et spørgsmål om angreb og teknik. Det passer godt til bestyrelsens interesse, men fejlsendte mails og medarbejdere, der tager kundelister med, falder let udenfor.
- “Informationssikkerhed” · læses som et forretningsspørgsmål. Det kræver, at nogen ud over IT ejer oplysningerne, men ordet kan virke abstrakt.
Det egentlige spørgsmål er altså, hvem der kan træffe beslutningerne. IT kan beskytte en server, men IT kan ikke afgøre, hvem der må se lønoplysninger, eller hvor længe tilbud skal gemmes. Den vurdering ligger hos dem, der ejer oplysningerne, se hvem der bestemmer, hvad der er fortroligt. Hvem der får titlen som ansvarlig, er behandlet i informationssikkerhedsansvarlig.
Fire tegn på, at ordet er for snævert
- Politikken nævner ikke papir, mødelokaler eller de fysiske rammer.
- En hændelse uden IT, fx en tabt mappe, har ingen plads i hændelsesloggen.
- Styringen af maskiner og tekniske anlæg står hverken hos IT eller hos andre, se køleanlæg, pumper og styringer.
- Medarbejderne tror, at sikkerhed er noget, leverandøren tager sig af.
Tænk på en rådgivningsvirksomhed med 40 ansatte, hvor IT-sikkerhedspolitikken er god og opdateret. En medarbejder efterlader en sagsmappe med klientoplysninger i toget. Ingen ved, hvem der skal have besked, for politikken handler om systemer. Direktionen omdøber dokumentet til informationssikkerhedspolitik, tilføjer et afsnit om papir og samtaler og lægger ejerskabet af klientoplysningerne hos partnerne. IT beholder ansvaret for de tekniske dele.
Et forslag til formulering
Vælg ét overordnet ord, og lad de andre være dele af det. Vi foreslår følgende tekst til politikken, som I kan tilpasse:
“Ved informationssikkerhed forstår vi beskyttelsen af fortrolighed, integritet og tilgængelighed af virksomhedens oplysninger, uanset form og sted. IT-sikkerhed er den del, der gælder vores systemer. Cybersikkerhed bruger vi om beskyttelsen mod digitale trusler og, hvor loven gælder, i NIS2-lovens betydning.”
Er I omfattet af NIS2, kan det være en fordel at bruge lovens ord i de dokumenter, myndigheden læser, og henvise til jeres egen definition. Få så formuleringen ind i informationssikkerhedspolitikken, og lad resten af dokumenterne følge den. Kontrakter med leverandører bør bruge samme ord, så en klausul om “IT-sikkerhed” ikke forstås snævrere end det, I mener.
Det skal I lade være med
- At bruge tre ord om det samme i samme dokument · læseren vil tro, at de betyder noget forskelligt.
- At lægge informationssikkerhed hos IT alene · IT kan ikke afgøre, hvem der må se hvad.
- At omdøbe dokumentet uden at ændre indholdet · det er omfanget og ejerskabet, der skal flytte sig.
Det skal I kræve af den eksterne
- ☐ Én definition, der bruges ens i politik, mandat, rapporter og kontrakter.
- ☐ Et klart svar på, hvem der ejer oplysningerne, og hvem der ejer systemerne.
- ☐ En gennemgang af, hvad der falder uden for de nuværende dokumenter.
- ☐ Rapportering til ledelsen, der også dækker hændelser uden IT.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3, nr. 3, og § 6, stk. 1.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: ordlisten og afsnittet om risikobaseret tilgang.
- DIGITAL SME: Vejledning til SMV’er om implementering af ISO/IEC 27001 (sikkerdigital.dk): afsnit 1.1 om definitionen af cybersikkerhed.
- Datatilsynets vejledning om brud på persondatasikkerheden: eksempel 7.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem gør hvad i sikkerhedsarbejdet? · Dækker ISO 27001 NIS2-kravene?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
