Et ISMS er nok, når ledelsen kan se, hvilke risici virksomheden har, hvad der gøres ved dem, hvem der har ansvaret, og om det virker. For en virksomhed med 30 eller 80 ansatte kan det rummes i en håndfuld dokumenter og en fast mødekadence. Værdien kommer fra rytmen, hvor risici vurderes, beslutninger skrives ned, og der følges op. Mængden af papir betyder mindre. Start med risikovurderingen, politikken og et årshjul, og byg resten på, når kunder eller lovkrav gør det nødvendigt.
Hvad et ISMS er
ISMS står for informationssikkerhedsledelsessystem. Navnet leder tankerne hen på software, men i praksis er det en fast måde at arbejde på. Systemet beskriver, hvordan virksomheden styrer sin informationssikkerhed: hvem der beslutter, hvilke regler der gælder, hvordan risici vurderes, og hvordan ledelsen holder øje med, at det hele fungerer.
Den mest kendte ramme er ISO/IEC 27001. Standarden stiller krav til ledelsens engagement, til planlægning ud fra risiko, til ressourcer og kompetencer, til den løbende drift, til evaluering og til forbedring. Dertil kommer et katalog af sikringsforanstaltninger, som virksomheden vælger fra efter behov. Et ISMS kan godt bygges efter standarden uden at blive certificeret. Det er et valg, der kan træffes senere, og det er beskrevet i ISO 27001 for mindre virksomheder.
Hvorfor mindre virksomheder går i stå
Mange starter med en skabelonpakke på flere hundrede sider. Efter et halvt år er dokumenterne skrevet, men ingen bruger dem, fordi de beskriver en organisation med sikkerhedsafdeling, kvalitetschef og interne revisorer. Medarbejderne kan ikke genkende sig selv, og ledelsen ved ikke, hvad den har godkendt.
Den modsatte fejl er at droppe strukturen helt og nøjes med de tekniske tiltag, IT-leverandøren foreslår. Så findes der måske både backup og flerfaktor-login, men ingen kan dokumentere, hvorfor netop de tiltag blev valgt, eller hvad der mangler. Det bliver tydeligt, første gang en kunde eller et forsikringsselskab spørger.
De dele, der giver værdi først
Rækkefølgen bør afspejle, hvad ledelsen får ud af hvert skridt. En fornuftig start for en mindre virksomhed er fem elementer.
- Overblik over aktiver. Hvilke systemer, data og leverandører virksomheden er afhængig af.
- Risikovurdering. De ti til femten største risici, vurderet på en fælles skala.
- Informationssikkerhedspolitik. Ledelsens korte udmelding om mål og ansvar, se politikken.
- Plan for tiltag. Hvem gør hvad, og hvornår.
- Ledelsens gennemgang. Et fast møde, hvor status og nye risici behandles.
Med de fem dele på plads har virksomheden et fungerende ledelsessystem. Det kan vokse, men det er brugbart fra første dag. For en NIS2-omfattet virksomhed peger loven i samme retning. § 6 kræver blandt andet politikker for risikoanalyse og informationssystemsikkerhed og politikker og procedurer til at vurdere, om foranstaltningerne virker.
Et lille ISMS skal stadig kunne vise sammenhæng. Risikovurderingen skal pege på de tiltag, der står i planen, og politikken skal nævne, hvem der ejer risikovurderingen. Hænger de fem dele sammen på den måde, kan en kunde eller en revisor følge tråden fra risiko til handling uden at skulle læse alle dokumenterne igennem. Det er den sammenhæng, der giver tillid udadtil, langt mere end antallet af sider.
Det, der kan vente
Nogle dele af et fuldt ISMS giver først mening, når grundlaget fungerer. Detaljerede procedurer for hver enkelt proces, en intern revision efter standardens regler, målepunkter for hvert tiltag og en fuld anvendelseserklæring for alle sikringsforanstaltningerne kan ofte vente til andet eller tredje år. Hvis en kunde kræver certificering, rykker de frem. Ellers kommer de til, efterhånden som behovet viser sig.
Et eksempel er en producent af maskindele med 45 ansatte, der leverer til en NIS2-omfattet kunde. Det første år bygger CISO’en risikovurdering, politik, en leverandørliste og et årshjul. Det andet år kommer procedurer for adgangsstyring og hændelser til, fordi kunden spørger til dem. Certificering vurderes først, når der er et år med drift at se tilbage på.
Hvem holder systemet i gang
Et ISMS dør, når ingen ejer det. I en virksomhed uden sikkerhedsafdeling er det naturligt, at en ekstern CISO driver systemet, mens en intern kontaktperson står for den daglige forankring. CISO’en indkalder til gennemgangene, opdaterer risikovurderingen og forbereder beslutningerne. Den interne kontaktperson ved, hvad der sker i huset, og samler oplysninger fra afdelingerne.
Direktionen ejer systemet og godkender de vigtigste dokumenter. Bestyrelsen skal kunne se, at der er en struktur for risikostyring, og at den bliver brugt. Hvordan samarbejdet med en ekstern rolle typisk er bygget op, kan I læse om i forløbet med en ekstern CISO. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At købe en skabelonpakke og kalde det et ISMS. Dokumenter uden ejere bliver ikke brugt.
- At starte med procedurerne. Uden risikovurdering ved I ikke, hvilke procedurer der er vigtige.
- At lade IT-leverandøren eje systemet. Den leverer til systemet, mens ledelsen styrer det.
- At gøre certificering til målet fra dag ét. Bevis for et system, der ikke kører endnu, holder ikke.
- At springe ledelsens gennemgang over. Den er det, der gør systemet til ledelse.
Det skal I kræve af den eksterne
En ekstern CISO, der bygger jeres ISMS, skal kunne begrunde, hvorfor hvert dokument er med. Spørg også, om rådgiveren har en interesse i bestemte værktøjer til at drive systemet. En rådgiver uden provisioner eller partnerskaber kan anbefale et regneark, hvis det er det, der passer.
- ☐ En plan, der starter med risikovurdering og politik.
- ☐ Dokumenter skrevet til jeres virksomhed og jeres størrelse.
- ☐ Et årshjul med faste punkter for gennemgang og opdatering.
- ☐ En intern kontaktperson, der kender sin rolle.
- ☐ Dokumentation gemt hos jer, så den følger virksomheden.
- ☐ En vurdering af, hvornår certificering giver mening, hvis overhovedet.
Første skridt
Spørg jer selv, om I i dag kan vise en kunde jeres største sikkerhedsrisici, og hvem der har besluttet, hvad der skal ske med dem. Kan I det, har I begyndelsen på et ISMS. Kan I ikke, er risikovurderingen stedet at starte. Rammen er uddybet under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, om politikker for risikoanalyse og vurdering af foranstaltningernes effektivitet.
- ISO/IEC 27001 hos ISO: krav til et ledelsessystem for informationssikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad skal vi gøre først? · Årshjul for sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
