Et kravregister er en liste over alle de sikkerhedskrav, virksomheden er forpligtet af, med kilde, ejer, frist og dokumentation for hvert krav. Kravene kommer typisk fra fem steder: NIS2-loven, hvis I er omfattet, reglerne om persondata, kundekontrakterne, forsikringsvilkårene og de certificeringer eller mærker, I har eller arbejder hen imod. Hver for sig er kravene ofte kendt af nogen i virksomheden. Samlet giver registret ledelsen det overblik, der skal til for at prioritere, godkende og følge op. Det kan laves i et regneark og holdes ved lige med en fast rytme.
Hvorfor kravene skal samles
I en virksomhed uden sikkerhedsafdeling ligger kravene spredt. Salgschefen kender kundekontrakterne, økonomichefen forsikringen, IT-leverandøren de tekniske krav og direktøren NIS2-registreringen. Overblikket mangler, så det går ubemærket hen, at to kunder kræver det samme med forskellige frister, eller at forsikringen forudsætter noget, der aldrig blev indført.
Et samlet register gør det muligt at se overlap, så én foranstaltning kan dække flere krav. Det gør det også muligt at se, hvem der ejer hvert krav, og hvornår det næste gang skal dokumenteres.
De fem kilder
NIS2-loven · er virksomheden væsentlig eller vigtig enhed, gælder kravene til foranstaltninger i § 6, ledelsesorganets pligter i § 7 og pligterne til registrering og underretning. Er I underleverandør uden egne pligter, kommer NIS2-kravene ofte ind via kunderne.
Persondata · databeskyttelsesforordningens artikel 32 stiller krav om et sikkerhedsniveau, der passer til risikoen. Efter artikel 33 skal et brud på persondatasikkerheden som hovedregel anmeldes til Datatilsynet, hvis muligt inden 72 timer fra det tidspunkt, hvor det blev konstateret. Pligten falder bort, når bruddet sandsynligvis ikke giver risiko for de personer, det angår. Kravene gælder, uanset om I er omfattet af NIS2.
Kundekontrakter · sikkerhedsbilag, krav om underretning af kunden inden for en bestemt tid, krav om certificering, ret til kontrol og krav til jeres egne underleverandører. Hvordan de læses før underskrift, står i sikkerhedskrav i kundekontrakten.
Forsikringsvilkår · krav, som forsikringen forudsætter er opfyldt, fx multifaktorautentificering eller backup, og pligter ved en skade, fx hurtig anmeldelse. Hvilke spørgsmål forsikringsselskaber stiller, står i cyberforsikringens spørgsmål.
Certificeringer og mærker · har I ISO/IEC 27001 eller D-mærket, følger der krav om vedligeholdelse, gennemgang og revision med faste intervaller.
Er virksomheden udpeget som kritisk enhed, kommer CER-loven til som en sjette kilde, se kritisk enhed efter CER-loven.
Felterne i registret
Et register, der kan bruges, har få felter, og de udfyldes for hvert krav:
- Kilde · lov og paragraf, kontrakt og punkt, police og vilkår.
- Kravet med egne ord · én linje, der kan forstås uden at åbne kilden.
- Gælder for · hele virksomheden, et selskab, en kunde eller et system.
- Ejer · den person, der svarer for, at kravet er opfyldt.
- Frist eller rytme · fx 24 timer ved hændelse, årlig gennemgang eller kontraktens udløb.
- Dokumentation · hvor beviset ligger.
- Status · opfyldt, delvist eller ikke opfyldt, med henvisning til handleplanen.
Krav, der ligner hinanden, kobles til samme foranstaltning. Så kan ét bevis bruges mange steder, og samlingen af dokumentation til kunderne bliver lettere, se én samling dokumentation til mange kunder.
Hvem ejer registret
Registret skal have én ejer, som holder det ved lige. Det kan være den eksterne CISO, en compliance-ansvarlig eller økonomichefen. De enkelte krav ejes af dem, der har ansvaret i hverdagen. Salg melder nye kundekrav ind, når en kontrakt forhandles, og økonomi melder ændrede forsikringsvilkår, når policen fornyes.
Nogle begivenheder bør altid føre til en opdatering: en ny kunde med sikkerhedsbilag, en fornyet police, et nyt selskab i koncernen, en ny IT-leverandør, en ændring i lovgivningen eller en hændelse, der viste et krav, ingen kendte. Skriv begivenhederne ind i årshjulet eller i de procedurer, der i forvejen bruges ved kontrakter og indkøb, så opdateringen sker af sig selv.
Registret siger også noget om, hvad virksomheden ikke har forpligtet sig til. Når en kunde spørger, om I lever op til en bestemt standard, kan svaret findes i registret, og det bliver lettere at sige nej til krav, der ikke står i forhold til aftalen.
Ledelsen bør se et uddrag af registret hvert år og desuden, når der sker større ændringer. Uddraget viser de krav, der ikke er opfyldt, de frister, der nærmer sig, og nye krav, der kræver en beslutning.
Et tænkt eksempel
En produktionsvirksomhed med 40 ansatte og tre IT-leverandører laver sit første register. Det viser 46 krav. To kunder kræver underretning ved hændelser, den ene inden for 24 timer og den anden inden for 48. Forsikringen forudsætter multifaktorautentificering på alle fjernadgange, men én leverandørs adgang mangler den. Direktionen beslutter at bruge den korteste kundefrist i beredskabsplanen og giver leverandøren en frist til at indføre multifaktorautentificering.
Det skal I lade være med
- At lade registret blive en kopi af alle kontrakter · ét krav, én linje, med henvisning til kilden.
- At glemme forsikringsvilkårene · de bliver først læst efter en skade, hvis ingen ejer dem.
- At lade salg indgå nye kundekrav uden at melde dem ind · registret skal opdateres, når kontrakten underskrives.
- At registrere krav uden ejer · et krav uden ejer bliver ikke fulgt op.
- At holde registret skjult for ledelsen · uddraget er grundlaget for prioriteringen.
Det skal I kræve af den eksterne
- ☐ Et register med de syv felter, udfyldt for alle fem kilder.
- ☐ En kobling af ens krav til samme foranstaltning og samme dokumentation.
- ☐ En fast procedure for, hvordan salg og økonomi melder nye krav ind.
- ☐ Et årligt uddrag til ledelsen med åbne krav og kommende frister.
- ☐ Henvisning til primærkilden for hvert lovkrav.
Hvad I gør nu
Saml de seneste kundekontrakter, forsikringspolicen og eventuelle certifikater, og læg dem ved siden af lovteksterne. Udfyld registret for de vigtigste kilder først. Indgangen til arbejdet med kundernes krav er når kunderne stiller sikkerhedskrav, og fristerne er samlet under frister i sikkerhedsarbejdet.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6 om foranstaltninger, § 7 om ledelsesorganet, §§ 12 og 13 om underretning.
- Forordning (EU) 2016/679 (eur-lex): art. 32 (sikkerhed ved behandling) og art. 33 (anmeldelse til tilsynsmyndigheden).
- D-mærket: kriterier for IT-sikkerhed og ansvarlig databrug.
- ISO/IEC 27001 (iso.org): standarden for ledelsessystemer for informationssikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Modenhedsvurdering og gap-analyse · Økonomichefen og sikkerhedsansvaret
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
