Valget mellem ISO/IEC 27001 og D-mærket afhænger mest af, hvem jeres kunder er, og hvad de skriver i deres krav. ISO 27001 er en international standard for et ledelsessystem for informationssikkerhed, og certificering sker hos et eksternt certificeringsorgan. D-mærket er en dansk mærkningsordning, der kombinerer IT-sikkerhed med ansvarlig brug af data og fornyes hvert år efter tilsyn. Ingen af dem er bedre end den anden i almindelighed. Den rigtige er den, der svarer på det, jeres vigtigste kunder spørger om, i et omfang, I kan holde ved lige.
To forskellige svar på kundens spørgsmål
ISO 27001 handler om ledelsessystemet. Ifølge ISO skal systemet beskytte fortrolighed, integritet og tilgængelighed gennem risikostyring og give omgivelserne tillid til, at risiciene håndteres. Standarden lader virksomheden selv bestemme, hvordan kravene opfyldes.
D-mærket har otte kriterier, fra ledelsens forankring og teknisk sikkerhed til krav til leverandører, gennemsigtighed om data og dataetik. Kriterierne bygger ifølge ordningen på internationale standarder og tilpasses virksomheden gennem fire virksomhedsgrupper. Mærket rækker dermed ud over informationssikkerhed og ind i, hvordan virksomheden bruger data, også med algoritmer og AI, hvor det er relevant.
Begge giver en tredjeparts bekræftelse. Forskellen ligger i, hvad der bekræftes, og hvem der kender det.
Kundekredsen afgør det meste
Start med en liste over de kunder, der har spurgt til sikkerhed det seneste år, og hvad de præcist har skrevet. Tre mønstre går igen:
- Kunder, der nævner ISO/IEC 27001 ved navn. Kræver de certificering, er det svært at komme udenom. Står der “eller tilsvarende”, kan andre former for dokumentation komme i betragtning, men kun hvis kunden siger ja.
- Danske kunder, der spørger bredt. Spørger de til IT-sikkerhed, persondata og leverandørstyring uden at nævne en standard, kan D-mærket give et samlet og letforståeligt svar.
- Kunder i flere lande. En international standard er ofte lettere at forklare for en indkøbsafdeling uden for Danmark. Om kunden kender D-mærket, må afklares med kunden selv.
Hvad kunderne reelt spørger efter, er gennemgået i ISO 27001 i en mindre virksomhed, og hvordan kravene i en kontrakt læses, står i Sikkerhedskrav i kundekontrakten.
Størrelse og forretning
En virksomhed med få ansatte og standardsystemer har ofte brug for en ramme, der passer til dens enkle IT-miljø. D-mærket tilpasser kravene efter virksomhedsgruppe, så en lille servicevirksomhed møder et mindre kravsæt end en stor virksomhed med mange systemer.
ISO 27001 kan også bruges i en lille virksomhed, fordi standarden overlader det til virksomheden at gøre systemet passende. Til gengæld kræver en certificering, at nogen internt kan holde systemet kørende mellem audits.
Softwarehuse bør være opmærksomme på én ting. D-mærket kan placere leverandører af software og IT-tjenester i en højere gruppe på grund af risikoprofilen, og kriteriet om privacy og security by design gælder virksomheder, der udvikler software. Valget bliver dermed et spørgsmål om, hvilken form jeres kunder vil se dokumentationen i.
Ambitionen bag valget
Nogle virksomheder vil dokumentere sikkerheden over for en enkelt stor kunde. Andre vil bruge arbejdet til at styre deres egen sikkerhed bedre og vise det udadtil. Ambitionen påvirker valget:
- Er målet at kunne vise et struktureret ledelsessystem, som en international kundekreds genkender, peger det mod ISO 27001.
- Er målet at vise danske kunder og forbrugere, at både sikkerheden og brugen af data er i orden, peger det mod D-mærket.
- Er målet at få styr på sikkerheden først og vente med beviset, kan I arbejde efter en af rammerne uden at søge certifikat eller mærke i første omgang.
Meget af arbejdet kan genbruges, hvis I senere skifter eller tager den anden med. Kortlægning af data og systemer, risikovurdering, politik og krav til leverandører indgår i begge. Mere om at prioritere arbejdet står i Hvad skal vi gøre først?.
Et oplæg, ledelsen kan beslutte ud fra
Beslutningen hører hjemme i ledelsen, fordi den binder tid og opmærksomhed i flere år. Et brugbart oplæg på to sider indeholder:
- de kunder, der stiller krav, og hvad de har skrevet
- hvilke krav hver mulighed dækker, og hvilke den ikke dækker
- den interne tid til opbygning og den årlige vedligeholdelse
- hvem der ejer arbejdet i virksomheden
- en anbefaling og en dato for, hvornår valget tages op igen
Et tænkt eksempel. Produktionsvirksomheden med 40 ansatte har to danske kunder, der spørger bredt, og én tysk kunde, der har skrevet ISO/IEC 27001 ind i rammeaftalen med “eller tilsvarende”. Oplægget anbefaler at spørge den tyske kunde, om D-mærket vil blive godtaget, før der vælges. Svaret afgør retningen.
Hvem skal rådgive om valget
Valget mellem to rammer bør ikke forberedes af en, der tjener på det ene udfald. Spørg den, der rådgiver jer, om de har aftaler med certificeringsorganer, konsulenthuse eller leverandører af værktøjer. Uden den slags bindinger kan rådet følge det, jeres kunder beder om.
En ekstern CISO kan samle kundernes krav, sammenholde dem med de to rammer og lægge oplægget frem. Selve valget og godkendelsen af politikken ligger hos ledelsen, se Når kunderne stiller sikkerhedskrav.
Det skal I lade være med
- At vælge efter, hvad konkurrenten har · jeres kunder er ikke nødvendigvis de samme.
- At tro, at det ene automatisk dækker det andet · spørg kunden, om alternativet godtages.
- At vælge den ramme, der lyder mindst krævende · den skal kunne svare på kundens spørgsmål.
- At udskyde valget, til en kunde stiller en frist · så bestemmer fristen omfanget.
Det skal I kræve af den eksterne
- ☐ En oversigt over jeres kunders faktiske krav med ordlyd.
- ☐ En sammenligning, der bygger på ISO’s og D-mærkets egne beskrivelser.
- ☐ Et skøn over intern tid til opbygning og årlig vedligeholdelse.
- ☐ Oplysning om økonomiske bindinger til nogen af mulighederne.
- ☐ En anbefaling, som ledelsen kan godkende eller afvise på et skriftligt grundlag.
Næste skridt er at hente ordlyden fra jeres tre vigtigste kunders krav og lægge den på bordet ved næste ledelsesmøde.
Kilder
- ISO/IEC 27001:2022 (iso.org): udstederens side om kravene til et ISMS.
- ISO: Management system standards (iso.org): certificering er ikke et krav og foretages af eksterne organer.
- D-mærket: Kriterier: de otte kriterier og deres anvendelse.
- D-mærket: Virksomhedsgrupper: tilpasning af kravene efter virksomhedens profil.
- D-mærket: Proces: tilsyn og tildeling for ét år ad gangen.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Én samling dokumentation til mange kunder · Sikkerhedsstrategi for en virksomhed uden sikkerhedsafdeling
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
