Personalesikkerhed handler om, at alle, der arbejder for virksomheden, kender deres ansvar for sikkerheden og lever op til det, fra første dag til efter sidste. Ledelsen skal beslutte, hvilke roller der har særlig adgang og derfor særlige krav, hvad medarbejdere forpligter sig til i ansættelsesaftalen, hvad en introduktion skal indeholde, og hvem der handler, når en medarbejder skifter rolle eller stopper. Om der skal laves baggrundskontrol, er en beslutning, der kræver omtanke og respekt for reglerne om persondata.
Personalesikkerhed i NIS2-loven
I § 6, stk. 1, nr. 9, samler NIS2-loven personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver. Her er fokus på personerne, mens adgangsstyring og aktiver behandles for sig i Adgangsstyring som politik og Forvaltning af aktiver. Også her gælder § 7, stk. 1, om ledelsesorganets godkendelse og tilsyn.
SAMSIK formulerer i implementeringsvejledningen formålet sådan, at ansatte, samarbejdspartnere og, hvor det er relevant, leverandører skal forstå og forpligte sig til deres sikkerhedsansvar. Vejledningen nævner ansættelsesaftaler, introduktion, ansvar efter ansættelsens ophør og regler for, hvad der sker ved overtrædelser.
Roller med særlig adgang
Ikke alle stillinger er lige følsomme. Den, der administrerer netværket, godkender betalinger eller har adgang til alle kundedata, kan gøre større skade end en medarbejder med adgang til ét system. Ledelsen bør derfor have en kort liste over roller med særlig adgang og beslutte, hvad der gælder for dem:
- hvilke ekstra forpligtelser de skriver under på
- hvilken uddannelse de skal have, før de får adgangen
- hvem der godkender, at en person træder ind i rollen
- om rollen kræver to personers godkendelse ved bestemte handlinger, fx store betalinger eller ændringer i administratorrettigheder
Listen bør også omfatte eksterne. Driftsleverandørens teknikere og en ekstern konsulent med administratoradgang hører med, og kravene til dem skal stå i aftalerne.
Fortrolighed og ansvar på skrift
SAMSIK peger på, at sikkerhedsansvaret kan skrives ind i ansættelsesaftaler og kontrakter. For ledelsen betyder det tre beslutninger. Ansættelsesaftalen eller personalehåndbogen skal henvise til sikkerhedsreglerne og pligten til at følge den uddannelse, virksomheden fastlægger. Der skal være en fortrolighedsforpligtelse, som også gælder efter fratræden. Og det skal være klart, hvilke konsekvenser det har at overtræde reglerne, så reaktionen bliver ens og forudsigelig. Reglerne selv er emnet i Sikkerhedsregler for medarbejderne.
Introduktion, rolleskift og sidste arbejdsdag
En ny medarbejder får adgang til systemer på første dag og skal derfor kende de vigtigste regler samme dag. Introduktionen bør dække, hvordan man melder noget mistænkeligt, hvilke regler der gælder for adgangskoder og multifaktorautentificering, og hvem man spørger. Rollespecifik uddannelse kommer oveni for de særlige roller.
Rolleskift er det sted, hvor rettigheder hober sig op. Når en medarbejder fra økonomi flytter til salg, får vedkommende nye adgange, men de gamle bliver ofte stående. Ledelsen bør beslutte, at nærmeste leder ved hvert rolleskift bekræfter, hvilke adgange der skal fjernes, og at det sker inden for en fast frist. I en virksomhed med 40 ansatte kan det være en simpel blanket, som både lederen og IT-leverandøren kvitterer på.
Ved fratrædelsen opstår der let huller. Adgange skal lukkes, udstyr afleveres, og fortrolighedspligten skal gentages. Ledelsen bør beslutte, hvem der ejer processen, og hvordan det dokumenteres, at den er gennemført. Det praktiske forløb er beskrevet under når medarbejdere stopper. Det samme gælder, når en leverandør skifter tekniker, eller når en konsulentaftale udløber. Den eksterne person har haft adgang på samme vilkår som en medarbejder og skal lukkes ud med samme omhu. Leverandøren bør have pligt til at give besked, når en person med adgang til jeres systemer forlader opgaven.
Baggrundskontrol med forsigtighed
SAMSIK’s vejledning bruger ordet “kan” om baggrundskontrol. Virksomheden kan kontrollere nyansatte og, hvor det er relevant, leverandører og konsulenter, hvis en risikovurdering af rollen og dens adgange taler for det. Vejledningen nævner som eksempler kontrol af identitet, eksamensbeviser, referencer og certificeringer. Den understreger, at kontrollen skal respektere gældende love og etiske regler, og at kriterierne for, hvilke roller der kræver kontrol, skal ligge fast, før kontrollen bruges.
Oplysninger om strafbare forhold er særligt beskyttet efter artikel 10 i databeskyttelsesforordningen. Om og hvordan sådanne oplysninger må indgå, bør derfor afklares juridisk, før ledelsen beslutter en ordning. Teksten her erstatter ikke en juridisk vurdering af jeres konkrete ordning.
Det skal I lade være med
- At behandle alle stillinger ens. Kravene skal følge adgangen og den skade, en rolle kan gøre.
- At glemme de eksterne. Leverandørens teknikere har ofte bredere adgang end jeres egne medarbejdere.
- At lade adgange følge med ved rolleskift. Hvert skift er en anledning til at rydde op.
- At indføre baggrundskontrol uden kriterier og juridisk afklaring. Det kan skabe flere problemer, end det løser.
- At lade fratrædelser afhænge af, at nogen husker det. Processen skal have en ejer og en kvittering.
Det skal I kræve af den eksterne
- ☐ En liste over roller med særlig adgang og forslag til krav for hver af dem.
- ☐ Formuleringer til ansættelsesaftaler og leverandørkontrakter om sikkerhedsansvar og fortrolighed.
- ☐ Et indhold til introduktionen og en procedure for rolleskift.
- ☐ En opgørelse over, om fratrædelser og rolleskift i det seneste år er gennemført efter proceduren.
- ☐ En afgrænset anbefaling om baggrundskontrol med henvisning til primærkilder og en tydelig opfordring til juridisk afklaring.
Personalesikkerhed er ét af de områder, ledelsen godkender og fører tilsyn med, og sammenhængen med de øvrige krav ses under ledelsens ansvar efter NIS2. Næste skridt er at tage de tre seneste rolleskift i virksomheden og undersøge, om de gamle adgange er fjernet.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 9 (personalesikkerhed, adgangskontrol og aktiver), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 9.a om personalesikkerhed, ansættelsesaftaler, ansvar efter fratræden og baggrundskontrol.
- Databeskyttelsesforordningen, (EU) 2016/679: artikel 10 om oplysninger om strafbare forhold.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra i.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Adgangsstyring som politik: principper, ejere og fast gennemgang · Direktørsvindel: godkendelsesregler for betalinger, som også ledelsen følger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
