Når en kunde kræver certificering efter ISO/IEC 27001 inden en bestemt dato, skal ledelsen først træffe beslutningen og fastlægge afgrænsningen, og derefter arbejde baglæns fra fristen. Planen går fra ledelsens beslutning over risikovurdering, valg af kontroller og politikker til en periode, hvor ledelsessystemet faktisk bliver brugt, en intern audit og ledelsens egen evaluering, og først derefter certificeringsorganets audit. Undervejs kan virksomheden aftale milepæle med kunden, så kunden kan se fremdrift, før certifikatet foreligger. Om certificering overhovedet er det rigtige svar på kundens krav, er behandlet i om certificering giver mening. Her er beslutningen truffet.
Læs kravet, før I planlægger
Start med kundens ordlyd. Står der, at virksomheden skal være certificeret på en bestemt dato, eller at certificeringen skal være påbegyndt? Gælder kravet hele virksomheden eller den del, der leverer til kunden? Accepterer kunden andre former for dokumentation i en overgangsperiode? Svarene bestemmer, hvor stram planen skal være. Hvordan sikkerhedskrav i en kontrakt læses, er beskrevet i kontraktens sikkerhedskrav.
Er fristen urealistisk, er det bedre at sige det til kunden nu end at love en dato, der ikke kan holdes. En plan med begrundede milepæle er et stærkere udgangspunkt for den samtale end en løs forsikring om, at det nok skal gå.
Trin 1: beslutning, afgrænsning og certificeringsorgan
Ledelsen skal beslutte at indføre et ledelsessystem for informationssikkerhed, udpege en ejer og afsætte tid. Samtidig fastlægges afgrænsningen, dvs. hvilke afdelinger, adresser og systemer certificeringen skal omfatte.
En snæver afgrænsning, fx den forretningsenhed, der leverer til kunden, kan forkorte forløbet. Den skal dog passe til kundens krav, og kunden bør bekræfte, at afgrænsningen er acceptabel. En afgrænsning, kunden senere afviser, koster mere tid end den sparede.
Certificering foretages af et eksternt certificeringsorgan. ISO certificerer ikke selv. Kontakt et eller flere organer tidligt, fordi de kan have ventetid, og fordi auditdatoen bliver planens faste punkt. Spørg, hvordan deres forløb er opbygget, hvad de skal have forelagt før audit, og hvilke datoer de kan tilbyde. Vælg et akkrediteret organ, og spørg kunden, om den har krav til, hvem der certificerer.
Trin 2: risikovurdering, kontroller og anvendelseserklæring
Standarden bygger på en risikovurdering, og valget af kontroller skal følge af den. Resultatet samles i anvendelseserklæringen, der viser, hvilke kontroller der er valgt, og hvorfor andre er fravalgt. Dokumentet er nyttigt for ledelsen, fordi det giver et samlet billede af sikkerheden. Det er beskrevet i Anvendelseserklæringen (SoA).
Risikovurderingen er det trin, der oftest tager længere tid end forventet, fordi systemer, data og leverandører skal kortlægges. Hvordan den gøres brugbar for ledelsen, står i risikovurdering for ledelsen.
Trin 3: politikker, procedurer og en periode i brug
Politik og procedurer skrives på grundlag af risikovurderingen. Derefter skal systemet bruges. Certificeringsorganet vil se, at aktiviteterne faktisk finder sted, fx at adgange gennemgås, at hændelser registreres, og at leverandører følges op. Perioden skal derfor have sin egen plads i planen og må ikke presses sammen til sidst. Hold dokumentationen så enkel, at medarbejderne kan bruge den, og lad dem, der skal følge procedurerne, læse dem igennem, før de godkendes. Hvor meget der er nok, er diskuteret i hvor meget ISMS der er nok.
Trin 4: intern audit og ledelsens evaluering
Før certificeringsauditten skal virksomheden selv gennemføre en intern audit og en ledelsens evaluering, som standarden kræver. Den interne audit viser, om systemet fungerer som beskrevet, og den bør udføres af en, der ikke selv har bygget den del, der auditeres. Ledelsens evaluering er et møde, hvor ledelsen ser på resultaterne, risiciene og behovet for ændringer og træffer beslutninger. Referatet er en del af dokumentationen. Afvigelser, som den interne audit finder, skal behandles, inden certificeringsorganet kommer.
Milepæle, der kan aftales med kunden
Kunden har en interesse i at se fremdrift. Følgende milepæle er konkrete og kan dokumenteres:
- Ledelsens beslutning og afgrænsningen, godkendt.
- Aftale med certificeringsorgan med en fast auditdato.
- Risikovurdering og anvendelseserklæring, godkendt af ledelsen.
- Politikker og procedurer i brug.
- Rapport fra den interne audit og referat af ledelsens evaluering.
- Certificeringsorganets audit og det endelige certifikat.
Aftal på forhånd, hvad kunden får at se ved hver milepæl. Anvendelseserklæringen og auditrapporter kan indeholde fortrolige oplysninger, så overvej, om et resumé er nok. Er virksomheden underleverandør til en NIS2-omfattet kunde, er sammenhængen mellem certifikatet og kundens krav gennemgået under ISO 27001 og NIS2-krav.
Tænk på et softwarehus med 25 ansatte, hvor en stor kunde kræver certificering inden for 14 måneder. Ledelsen afgrænser certificeringen til drift og udvikling af den platform, kunden bruger, og får det bekræftet af kunden. Et certificeringsorgan booket i måned to giver en fast auditdato. Kunden modtager en kort statusrapport ved hver milepæl og accepterer, at fristen gælder certificeringsauditten, mens det skriftlige certifikat kan komme kort efter.
Det skal I lade være med
- At vente med at kontakte certificeringsorganet · auditdatoen styrer hele planen.
- At afgrænse uden kundens accept · en afvist afgrænsning koster måneder.
- At købe et sæt skabeloner og kalde det et ledelsessystem · systemet skal bruges.
- At springe den interne audit over for at nå fristen · den er et krav i standarden.
- At love kunden en dato uden en plan · milepæle er et bedre løfte.
Det skal I kræve af den eksterne
- ☐ En plan, der arbejder baglæns fra kundens frist, med milepæle og ejere.
- ☐ Et forslag til afgrænsning, som kunden kan bekræfte.
- ☐ En risikovurdering og en anvendelseserklæring, som ledelsen kan godkende.
- ☐ Uafhængighed af certificeringsorganer og værktøjsleverandører. Den eksterne bør stå uden bånd til dem og uden gevinst ved, hvilket organ eller værktøj I vælger.
- ☐ En intern auditor, der ikke har bygget det, der auditeres.
Første ledelsesmøde efter kravet
Hent kundens ordlyd frem, beslut afgrænsningen, og bed om tilbud fra certificeringsorganer samme måned. Arbejdet med kundekrav i det hele taget er samlet under Når kunderne stiller sikkerhedskrav. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- ISO/IEC 27001:2022 (iso.org): ISO’s beskrivelse af standarden for ledelsessystemer for informationssikkerhed.
- ISO: Management system standards (iso.org): ISO udsteder ikke certifikater; certificering foretages af eksterne organer.
Senest gennemgået: november 2026.
Næste skridt
- ISO 27001 eller D-mærket: hvad passer til jeres kunder?
- Informationssikkerhedspolitik: hvad skal den indeholde, og hvem skriver under?
Læs også: Én samling dokumentation til mange kunder · Hvor lang tid tager det at få NIS2-foranstaltningerne på plads?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
