Ledelsen skal tage stilling til fire ting. Hvilke oplysninger skal være krypteret, når de opbevares og sendes? Hvem i virksomheden ejer nøglerne, og hvor ligger gendannelsesnøglerne, hvis en leverandør forsvinder? Hvem må give en undtagelse, og for hvor længe? Og hvem holder politikken opdateret, når teknikken ændrer sig? Valget af algoritmer, protokoller og nøglelængder hører til fagfolkene og kan stå i en procedure under politikken. Ledelsen godkender rammen og ansvaret.
Lovteksten og vejledningen
Kryptografi har sit eget punkt i NIS2-loven, hvor § 6, stk. 1, nr. 8, omfatter politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering. Politikken er dermed en af de foranstaltninger, ledelsesorganet skal godkende og føre tilsyn med efter § 7, stk. 1.
Kryptografi er den samlede teknik til at beskytte oplysninger mod at blive læst eller ændret af uvedkommende. Kryptering er den del, hvor data omdannes, så kun den med den rette nøgle kan læse dem. I SAMSIK’s implementeringsvejledning står der, at brugen skal følge aktivernes klassifikation og risikovurderingen, og at politikken skal passe til det aktuelle teknologiske stade. Vejledningen nævner også, at politikken bør gennemgås, når en algoritme bliver brudt, eller teknologien rykker sig.
Beslutning 1: hvad der skal krypteres
Udgangspunktet er virksomhedens klassifikation af oplysninger, altså inddelingen efter hvor følsomme de er. Har virksomheden ikke en klassifikation, er det første skridt. Emnet er behandlet i Dataklassifikation: hvem bestemmer, hvad der er fortroligt?.
Med klassifikationen på plads kan ledelsen beslutte en enkel regel, fx at fortrolige oplysninger altid er krypteret på bærbare computere, telefoner, flytbare medier og i backup, og at de kun sendes over krypterede forbindelser. I rådgivningsvirksomheden, hvor klienternes oplysninger er forretningen, vil reglen typisk være strengere end i en virksomhed, hvor det mest følsomme er lønsedler. Reglen skal også sige, hvad der gælder for mail med fortrolige bilag, fordi almindelig mail ikke altid er krypteret hele vejen.
Beslutning 2: hvem der ejer nøglerne
Kryptering er kun så stærk som kontrollen med nøglerne. Hvis nøglerne går tabt, er data væk. Hvis de havner hos de forkerte, er beskyttelsen væk. Ledelsen behøver ikke at forstå teknikken, men den skal vide svaret på nogle spørgsmål:
- Hvor ligger gendannelsesnøglerne til krypterede computere og backup, og kan virksomheden selv hente dem uden leverandørens hjælp?
- Hvem har adgang til nøglerne, og hvem godkender, at nogen får adgang?
- Hvad sker der med nøglerne, når en medarbejder eller en leverandør stopper?
- Holder cloududbyderen nøglerne, eller holder virksomheden dem selv?
Det sidste spørgsmål handler også om afhængighed og om, hvem der kan tvinge en udbyder til at udlevere data. Den vinkel er beskrevet på digital-suveraenitet.dk om egne nøgler og nøglekontrol. Her er pointen, at ejerskabet skal placeres hos en navngiven rolle i virksomheden, også når nøglerne teknisk ligger hos en leverandør.
Beslutning 3: hvem der må give undtagelser
Der vil være situationer, hvor reglen ikke kan følges. Et ældre produktionsanlæg understøtter måske ikke kryptering, eller en kunde kræver et format, der ikke kan beskyttes. Ledelsen skal beslutte, hvem der må godkende en undtagelse, at den skal være begrundet og tidsbegrænset, og at den registreres sammen med den risiko, den efterlader. Det generelle om undtagelser står i Undtagelser fra sikkerhedsreglerne.
Beslutning 4: hvem der holder politikken ajour, og hvor den hører hjemme
Kryptografi ældes. Metoder, der var sikre for ti år siden, regnes i dag for svage. SAMSIK nævner, at politikken skal gennemgås med planlagte mellemrum og ved erkendte sårbarheder i den anvendte kryptografi. Ledelsen skal udpege en ansvarlig for gennemgangen og sikre, at resultatet når frem til ledelsen, hvis der skal ske ændringer. En ekstern CISO kan holde øje med udviklingen og sige til, når der er grund til at handle. Gennemgangen bør også omfatte leverandørerne, fordi en stor del af krypteringen i mindre virksomheder ligger i deres løsninger. Spørgsmålet til dem er, om de stadig bruger de metoder, politikken kræver, og hvornår de skifter, hvis en metode bliver svækket.
Kryptografipolitikken er en emnespecifik politik under den overordnede informationssikkerhedspolitik. Den kan være kort, typisk én til to sider, med en tilhørende teknisk procedure, som IT eller leverandøren vedligeholder. Hvordan dokumenterne hænger sammen, er beskrevet i Politik, retningslinjer og procedurer.
Det skal I lade være med
- At skrive algoritmer og nøglelængder ind i den politik, ledelsen godkender. Den tekniske del ændrer sig oftere og hører til i proceduren.
- At lade gendannelsesnøglerne ligge alene hos leverandøren. Virksomheden skal kunne komme til sine data selv.
- At kryptere uden at afprøve gendannelse. En krypteret backup uden nøgle er ubrugelig.
- At give permanente undtagelser. Alle undtagelser skal have en dato for ny vurdering.
- At glemme flytbare medier og telefoner. De forlader bygningen hver dag og kan blive glemt i et tog.
Det skal I kræve af den eksterne
- ☐ Et udkast til kryptografipolitik på én til to sider med de fire beslutninger.
- ☐ En kortlægning af, hvor nøgler og gendannelsesnøgler ligger i dag, og hvem der har adgang.
- ☐ En kobling mellem klassifikationen og kravene til kryptering.
- ☐ Et register over undtagelser med begrundelse og udløbsdato.
- ☐ En anbefaling af løsninger, der hviler på jeres behov alene. Oplysning om eventuelle salgsaftaler med producenter og provision for anbefalinger.
Kryptografi er ét af flere minimumsområder, som ledelsen skal godkende, og alle ti er omtalt under NIS2 og ledelsens pligter. Næste skridt er at spørge, hvor gendannelsesnøglerne til jeres bærbare computere ligger, og om I selv kan hente dem en søndag aften.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 8 (kryptografi og kryptering), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 8 om kryptografi, nøglehåndtering og gennemgang af politikken.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra h.
Senest gennemgået: november 2026.
Næste skridt
- Dataklassifikation: hvem bestemmer, hvad der er fortroligt?
- NIS2 og ledelsens ansvar for cybersikkerhed
Læs også: Forvaltning af aktiver: overblik over systemer, data og udstyr · Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
