En mindre virksomhed kan sagtens arbejde efter ISO/IEC 27001 uden at være certificeret, og ofte er det netop dokumentation for et styret sikkerhedsarbejde, kunden beder om. Et certifikat bliver først nødvendigt, når en kunde, en kontrakt eller et marked udtrykkeligt kræver, at et certificeringsorgan har godkendt ledelsessystemet. Beslutningen begynder derfor med en nøjagtig læsning af kundens ordlyd. Lige så vigtigt er det at afklare, hvem i ledelsen der ejer valget, og hvem der forbereder det.
Standarden, som ISO selv beskriver den
ISO/IEC 27001 er udgivet i fællesskab af ISO og IEC, og den gældende udgave er fra 2022. Standarden fastsætter kravene til et ledelsessystem for informationssikkerhed, forkortet ISMS. Ifølge ISO’s side om standarden skal et sådant system beskytte fortrolighed, integritet og tilgængelighed gennem en proces for risikostyring og give interessenterne tillid til, at risiciene bliver håndteret. I 2024 kom et tillæg til 2022-udgaven om klimaforhold.
To forhold fra ISO’s egne sider er værd at kende, før ledelsen tager stilling. ISO certificerer ikke selv virksomheder; den opgave ligger hos eksterne certificeringsorganer. Desuden skriver ISO om sine standarder for ledelsessystemer, at certificering ikke er et krav, og at en organisation kan have gavn af at følge en standard uden at blive certificeret.
Standarden siger, hvad ledelsessystemet skal kunne, og lader virksomheden finde en form, der passer til den. Hvor meget et passende system fylder i en virksomhed af jeres størrelse, er emnet i ISMS i en mindre virksomhed.
To veje med samme fundament
At arbejde efter standarden betyder i praksis, at ledelsen har godkendt en sikkerhedspolitik, at risikovurderingen gentages efter en plan, at foranstaltningerne følger af risikovurderingen, og at ledelsen jævnligt følger op. Alt dette kan dokumenteres og vises til en kunde.
Certificering lægger et lag ovenpå. Et certificeringsorgan gennemgår systemet, udsteder et certifikat, når kravene er opfyldt, og vender tilbage med løbende audits. Fordelen for kunden er en uafhængig parts bekræftelse. Til gengæld skal systemet kunne tåle en ekstern gennemgang hvert år, også i de travle perioder.
Grundlaget er det samme ad begge veje. En virksomhed, der har arbejdet efter standarden et stykke tid, står derfor stærkt, hvis certifikatet senere bliver nødvendigt.
Læs kundens formulering ord for ord
Krav med henvisning til ISO 27001 kommer i flere varianter, og de forpligter forskelligt. Fire formuleringer ses ofte:
- “Leverandøren skal være certificeret efter ISO/IEC 27001.” Her kræves et certifikat.
- “Leverandøren skal arbejde efter ISO/IEC 27001 eller tilsvarende.” En dokumenteret praksis kan være tilstrækkelig, og ordet “tilsvarende” åbner for andre rammer.
- “Leverandøren skal kunne dokumentere informationssikkerhed svarende til ISO/IEC 27001.” Kunden vil se politik, risikovurdering og opfølgning.
- Et spørgeskema med spørgsmålet “Er I certificeret efter ISO 27001?” Et nej kan suppleres med en kort beskrivelse af, hvordan sikkerheden styres.
Forestil jer softwarehuset med fem udviklere, hvor en stor kunde har skrevet den tredje formulering ind i rammeaftalen. Ledelsen har regnet med en certificering. En grundig læsning viser, at kunden ønsker adgang til sikkerhedspolitikken, et resumé af risikovurderingen og en årlig status. Det kan softwarehuset levere uden certifikat, og arbejdet kan genbruges, hvis en senere kunde forlanger mere.
Er formuleringen uklar, er det enkleste at spørge kunden, hvad der bliver godtaget, og få svaret på skrift. Hvordan krav i aftaleudkastet vurderes inden underskrift, står i Sikkerhedskrav i kundekontrakten. Er kunden selv omfattet af NIS2, kan kravet også handle om test af konkrete systemer, som beskrevet på nis2-pentest.dk om ISO 27001 og NIS2 i samme kundekrav.
Når certifikatet faktisk er kravet
Kræver kunden et certifikat, har ledelsen tre spørgsmål at tage stilling til. Hvilken del af virksomheden skal systemet omfatte, så det dækker den ydelse, kunden køber? Hvem ejer systemet internt, når audits og opfølgning vender tilbage år efter år? Og vejer kunden tungt nok til, at forpligtelsen giver mening, også hvis netop den aftale udløber?
Svarene hører hjemme i et kort oplæg med anbefaling, konsekvenser og den tid, arbejdet vil binde hos jeres egne folk. Om D-mærket passer bedre til jeres kundekreds, er gennemgået i ISO 27001 eller D-mærket.
CISO-rollens del af arbejdet
En CISO, intern eller ekstern, kan forberede hele beslutningen. Det omfatter at læse kravet, tale med kunden, vurdere afstanden mellem jeres nuværende praksis og standardens krav og lægge et realistisk forløb frem. Vælger ledelsen certificering, leder CISO typisk opbygningen af systemet, holder risikovurderingen ajour og forbereder ledelsens gennemgang. Vælger ledelsen at følge standarden uden certifikat, er opgaven stort set den samme, blot uden den eksterne audit.
To ting bliver hos ledelsen. Den godkender politikken og de risici, der accepteres, og den beslutter, om certificeringen sættes i gang. Hvordan svarene til kunderne holdes ens, står i Kunden har sendt et sikkerhedsspørgeskema.
Den, der rådgiver om valget, bør være ligeglad med, hvilken vej I går. Bed om en skriftlig bekræftelse på, at rådgiveren står uden aftaler og provision fra certificeringsorganer og fra dem, der leverer værktøjer til compliance.
Det skal I lade være med
- At sætte et certificeringsprojekt i gang på grund af ét spørgeskema · et ja-nej-spørgsmål om certifikat er sjældent et kontraktkrav.
- At købe en skabelonpakke og kalde den et ISMS · dokumenter, som ingen i ledelsen bruger, holder hverken til en audit eller til kundens opfølgning.
- At afgrænse systemet, så den solgte ydelse falder udenfor · så besvarer certifikatet ikke kundens spørgsmål.
- At lægge hele ejerskabet hos den eksterne · systemet skal kunne leve videre, hvis samarbejdet stopper.
- At love kunden et certifikat til en bestemt dato, før afstanden er vurderet · et løfte i en aftale bliver til en forpligtelse.
Det skal I kræve af den eksterne
- ☐ En skriftlig læsning af kundens krav med en anbefaling af den vej, der dækker det.
- ☐ En vurdering af afstanden mellem jeres praksis i dag og standardens krav.
- ☐ Et oplæg til ledelsen om afgrænsning, ejerskab og tidsforbrug.
- ☐ Politik, risikovurdering og planer gemt hos jer i et format, I selv kan arbejde videre i.
- ☐ Oplysning om eventuelle bindinger til certificeringsorganer eller værktøjsleverandører.
- ☐ Et forslag til, hvordan svarene til kunderne holdes ajour, se Én samling dokumentation til mange kunder.
Find kundens præcise formulering frem, og få den læst ved siden af den sikkerhedsdokumentation, I allerede har. Så kan ledelsen vælge på et oplyst grundlag.
Kilder
- ISO/IEC 27001:2022 (iso.org): ISO’s beskrivelse af standarden for ledelsessystemer for informationssikkerhed.
- ISO/IEC 27001:2022/Amd 1:2024 (iso.org): tillægget til 2022-udgaven om klimaforhold.
- ISO: Management system standards (iso.org): at certificering ikke er et krav, og at certificering foretages af eksterne organer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: D-mærket som dokumentation over for kunder · Risikovurdering, som ledelsen kan træffe beslutninger på
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
