Ordliste om sikkerhedsledelse

Ordlisten forklarer de ord, direktion og bestyrelse møder, når de skal lede sikkerhedsarbejdet: lovens begreber, risikoarbejdets begreber og de erklæringer og mærker, kunder og leverandører henviser til. Hvor NIS2-loven (lov nr. 434 af 6. maj 2025) selv definerer et ord, står paragraffen ved forklaringen, så I kan læse den præcise ordlyd. Forklaringerne her er skrevet med ledelsens brug for øje og erstatter ikke lovteksten. Titler og roller som CISO, vCISO, CPO og DPO er forklaret i ordlisten på ekstern-it-ledelse.dk.

Lovens begreber

• Ledelsesorgan · den del af ledelsen, som NIS2-loven lægger godkendelse og tilsyn hos. Findes både bestyrelse og direktion, er det bestyrelsen, der udgør ledelsesorganet, og hvor der alene er en direktion, er det den (§ 3, nr. 20). Se Hvem er ledelsesorganet efter NIS2-loven?.
• Væsentlig enhed · en virksomhed eller myndighed i en af sektorerne i lovens bilag 1, der er stor nok efter § 4, stk. 1, eller som efter § 4, stk. 3, er væsentlig uanset størrelse. Størrelsen vurderes på ansatte, omsætning og balance.
• Vigtig enhed · en virksomhed i bilag 1 eller 2, der ikke er væsentlig, men som når de mindre størrelsesgrænser i § 5. Pligterne til foranstaltninger og underretning er de samme som for væsentlige enheder; tilsynet er indrettet forskelligt.
• Kompetent myndighed · den myndighed, der fører tilsyn med jeres sektor, og som I registrerer jer hos. Hvilken det er, afhænger af sektoren. Se Tilsyn efter NIS2.
• CSIRT · Computer Security Incident Response Team. Den nationale enhed, der modtager underretninger om hændelser, svarer på den tidlige varsling og efter anmodning kan rådgive under en hændelse (§§ 12, 13 og 17). Se Hvad national CSIRT kan hjælpe med.
• Hændelse · en begivenhed, der sætter data eller tjenester i fare for at blive utilgængelige, ændret, forfalsket eller kendt af uvedkommende (§ 3, nr. 12).
• Væsentlig hændelse · en hændelse, som rammer eller kan ramme driften eller økonomien hårdt, eller som kan gøre betydelig skade hos andre. Kun væsentlige hændelser skal underrettes (§ 12, stk. 2). Se Er hændelsen væsentlig?.
• Nærvedhændelse · en begivenhed, der kunne være blevet en hændelse, men som blev stoppet i tide eller aldrig indtraf (§ 3, nr. 22). Kan meldes frivilligt til CSIRT efter § 14.
• Cybertrussel · alt, der potentielt kan skade eller forstyrre systemerne og dem, der bruger dem (§ 3, nr. 4). En væsentlig cybertrussel er en trussel, hvis tekniske egenskaber gør det sandsynligt, at den kan gøre alvorlig skade (§ 3, nr. 35).
• Sårbarhed · en svaghed eller fejl i et produkt eller en tjeneste, som en angriber kan udnytte (§ 3, nr. 29). Se Sårbarhedshåndtering.
• Risiko · lovens definition kombinerer, hvor stort et tab eller en forstyrrelse kan blive, med hvor sandsynligt det er (§ 3, nr. 27).
• Tidlig varsling · det første trin i underretningen om en væsentlig hændelse, senest 24 timer efter kendskab (§ 13, stk. 1, nr. 1). Se Frister i sikkerhedsarbejdet.
• Korrigerende foranstaltninger · det, I skal sætte i gang uden unødigt ophold, når et af minimumskravene ikke er opfyldt (§ 6, stk. 2).
• Udbyder af administrerede tjenester · en leverandør, der installerer, driver eller vedligeholder andres IT, på stedet eller på afstand (§ 3, nr. 34). Når opgaven er sikkerhed, taler loven om en udbyder af administrerede sikkerhedstjenester (§ 3, nr. 33).
• Forsyningskædesikkerhed · sikkerheden i forholdet til jeres direkte leverandører og tjenesteudbydere, som er et af minimumskravene i § 6, stk. 1, nr. 4. Se Forsyningskæden i NIS2.
• Cyberhygiejne · de grundlæggende vaner, som alle i virksomheden skal følge, fx opdateringer, stærke adgangskoder og forsigtighed med links. Nævnt i § 6, stk. 1, nr. 7. Se Grundlæggende cyberhygiejne.
• Kritisk enhed · en enhed, som vedkommende minister har identificeret efter CER-loven (lov nr. 433 af 6. maj 2025), fordi den leverer en tjeneste, samfundet er afhængigt af. Se Udpeget som kritisk enhed.
• Brud på persondatasikkerheden · et sikkerhedsbrud, hvor personoplysninger går tabt, ændres, slettes eller kommer i forkerte hænder. Anmeldes til Datatilsynet efter databeskyttelsesforordningens artikel 33. Se Én hændelse, to underretninger.

Ledelsessystem og dokumenter

• ISMS · informationssikkerhedsledelsessystem. Den faste måde, virksomheden styrer sikkerheden på: hvem der beslutter, hvordan risici vurderes, og hvordan der følges op. ISO/IEC 27001 beskriver kravene til et sådant system. Se ISMS i en mindre virksomhed.
• SoA (anvendelseserklæring) · Statement of Applicability. Listen over sikringsforanstaltningerne i ISO/IEC 27001, hvor virksomheden for hver angiver, om den er valgt, og hvorfor. Se Anvendelseserklæringen.
• Informationssikkerhedspolitik · ledelsens korte, underskrevne beskrivelse af mål og principper for sikkerheden. Se Informationssikkerhedspolitik.
• Kravregister · én samlet liste over de sikkerhedskrav, der gælder jer fra lov, kontrakter og forsikring. Se Kravregister.
• Modenhedsvurdering · en vurdering af, hvor langt virksomheden er nået på en række områder, ofte målt mod en ramme som CIS Controls eller NIST CSF. Se Modenhedsvurdering og gap-analyse.

Risiko og beslutninger

• Risikovillighed · ledelsens udmelding om, hvor meget risiko den vil bære for at nå sine mål, formuleret så den kan bruges i konkrete sager. Se Risikovillighed.
• Risikoejer · den leder, der har ansvaret for en bestemt risiko og for beslutningen om, hvad der skal ske med den.
• Risikoaccept · en skrevet beslutning om at leve med en risiko i en periode, med begrundelse og dato for ny vurdering. Se Hvem må acceptere en risiko?.
• Restrisiko · den risiko, der er tilbage, når de besluttede tiltag er gennemført.
• BIA (konsekvensanalyse for forretningen) · Business Impact Analysis. En kortlægning af, hvad det koster forretningen, når en proces eller et system står stille i en time, en dag eller en uge.
• RTO · Recovery Time Objective. Den længste tid, et system må være nede, før det skal køre igen.
• RPO · Recovery Point Objective. Hvor langt tilbage i tid I højst kan tåle at miste data, fx en arbejdsdag. RTO og RPO fastsættes af ledelsen og bestemmer, hvordan backup skal indrettes. Se Backup og reetablering.

Teknik, ledelsen beslutter om

• MFA · multifaktorautentificering. Login, der kræver mere end en adgangskode, fx en kode på telefonen. Nævnt i § 6, stk. 1, nr. 10. Se MFA og sikker kommunikation.
• Logning · registrering af, hvem der har gjort hvad i systemerne. Hvor længe logs gemmes, og hvem der må se dem, er en ledelsesbeslutning. Se Logning.
• Dataklassifikation · inddeling af data efter, hvor følsomme de er, så beskyttelsen kan følge værdien. Se Dataklassifikation.

Erklæringer og mærker

• ISAE 3402 · international standard for en revisorerklæring om en leverandørs kontroller, oprindelig med fokus på det, der har betydning for kundernes regnskab.
• ISAE 3000 · den bredere standard for erklæringer, som IT-leverandører ofte bruger om informationssikkerhed og persondata.
• Type 1 og type 2 · en type 1-erklæring siger, at kontrollerne er beskrevet og indført på en bestemt dato. En type 2-erklæring siger desuden, at revisor har testet, at de har virket i en periode, ofte et år. Se IT-leverandørens ISAE 3402- eller 3000-erklæring.
• ISO/IEC 27001 · den internationale standard for informationssikkerhedsledelse, som en virksomhed kan certificeres efter af et akkrediteret certificeringsorgan. Se ISO 27001: skal en mindre virksomhed certificeres?.
• D-mærket · dansk mærkningsordning for IT-sikkerhed og ansvarlig brug af data, som virksomheder kan bruge over for kunder og samarbejdspartnere. Se D-mærket som dokumentation over for kunder.

Kilder

• NIS2-loven, lov nr. 434 af 6. maj 2025: §§ 3, 4, 5, 6, 12, 13, 14 og 17.
• CER-loven, lov nr. 433 af 6. maj 2025: § 3 om identifikation af kritiske enheder.
• Datatilsynet: Håndtering af brud på persondatasikkerheden: anmeldelse af brud.
• D-mærket og ISO/IEC 27001 hos ISO: udstedernes egne sider.

Senest gennemgået: november 2026.

Næste skridt

• NIS2 og ledelsens ansvar for cybersikkerhed
• Risikovurdering og sikkerhedsstrategi

Læs også: Frister i sikkerhedsarbejdet · Spørgsmål og svar om ekstern CISO

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT