Sikkerhedsdokumenterne fungerer bedst i fire niveauer. Øverst står ledelsens politik, som fastlægger formål, mål og ansvar. Under den ligger retningslinjer for de enkelte områder, fx adgang, backup og leverandører. Derefter kommer procedurer, der beskriver, hvordan en konkret opgave udføres, og nederst registre og optegnelser, der viser, at det er sket. Ledelsen skal læse og godkende politikken og bør kende retningslinjerne. Procedurerne ejes af dem, der udfører dem. Med den fordeling kan hvert dokument ændres af den rigtige person uden at skulle forbi direktionen hver gang.
Hvorfor hierarkiet betyder noget
Mange mindre virksomheder har ét stort dokument, der blander ledelsens holdning med tekniske regler og vejledninger til medarbejderne. Det giver tre problemer. Dokumentet bliver langt, og ingen læser det. Hver gang en teknisk detalje ændres, skal hele dokumentet godkendes igen. Og ved et tilsyn, en kundeaudit eller en skade er det svært at vise, hvad ledelsen har besluttet, og hvad der blot er praktiske anvisninger.
Et hierarki løser det ved at adskille det, der sjældent ændres, fra det, der ændres ofte. Det gør det også lettere at finde det rigtige dokument, fordi hvert niveau har sit formål.
De fire niveauer
- Politik. Ledelsens udmelding om sikkerhedens betydning for virksomheden, de mål, der skal nås, og fordelingen af ansvar. To til fire sider, godkendt af direktionen og gerne bestyrelsen. Indholdet er beskrevet i artiklen om informationssikkerhedspolitik.
- Retningslinjer. Ét kort dokument pr. område, fx adgangsstyring, backup, leverandører, hændelser og medarbejderregler. De oversætter politikken til krav, der kan følges op på. Typisk godkendt af direktøren efter indstilling fra CISO’en.
- Procedurer. Trin for trin for en bestemt opgave, fx oprettelse af en ny bruger eller genskabelse fra backup. Skrevet og ejet af den, der udfører opgaven, ofte IT-leverandøren.
- Registre og optegnelser. Risikoregister, leverandøroverblik, liste over undtagelser, logbog over hændelser og referater. De viser, hvad der faktisk er sket.
Navnene varierer fra virksomhed til virksomhed. Nogle kalder retningslinjerne for “standarder” eller “regler”. Det vigtige er, at hvert dokument har en tydelig plads, og at alle ved, hvilket niveau der går forud for hvilket.
Hvilke niveauer ledelsen skal læse
Politikken skal ledelsen læse, forstå og godkende. Det er den, der binder virksomheden, og den, kunder og forsikringsselskaber beder om.
Retningslinjerne bør direktionen kende indholdet af. De behøver ikke læses ord for ord ved hver ændring, men direktøren skal godkende dem, når de er nye eller ændres væsentligt. En kort oversigt fra CISO’en med de vigtigste ændringer siden sidst er som regel nok.
Procedurerne og registrene læser ledelsen ikke løbende. Til gengæld bør den spørge til, om de findes og bliver brugt. Registrene er det, ledelsen ser uddrag af i sin rapportering, fx de største risici og åbne undtagelser.
Efter NIS2-lovens § 7, stk. 1, er det ledelsesorganet i en omfattet virksomhed, der godkender foranstaltningerne, og som holder øje med, at de bliver gennemført. Styrelsen for Samfundssikkerhed beskriver i sin vejledning dokumentation som nedskrevne politikker og procedurer, som relevante medarbejdere har adgang til, og som kan gøres tilgængelige ved et tilsyn. Hvad godkendelsen indebærer i praksis, står i ledelsen skal godkende og føre tilsyn.
Et eksempel på en samlet struktur
En virksomhed med 50 ansatte og ekstern drift kunne have denne samling.
- Én informationssikkerhedspolitik på tre sider.
- Seks til otte retningslinjer på hver én til to sider.
- Procedurer hos IT-leverandøren for de opgaver, leverandøren udfører, og egne procedurer for fratrædelse, betalinger og hændelser.
- Et risikoregister, et leverandøroverblik, en liste over undtagelser og en hændelseslog.
Det er en samling, der kan holdes ved lige af få personer. Kommer der senere krav om ISO 27001 eller D-mærket, er strukturen et godt udgangspunkt, fordi de fleste krav kan placeres i et af de fire niveauer uden at bygge forfra. Medarbejderne skal ikke kende det hele. De skal kende de sikkerhedsregler for medarbejderne, som er skrevet til dem.
Hvor dokumenterne skal ligge
Dokumenterne bør ligge ét sted, som de relevante personer har adgang til, og som viser den gældende version. Det kan være intranettet, et fælles drev med begrænset skriveadgang eller et dokumentsystem. Tidligere versioner bør gemmes, så det kan vises, hvad der gjaldt på et givet tidspunkt. Hvem der ejer og ændrer hvert dokument, er beskrevet i hvem ejer hvilket sikkerhedsdokument.
Det skal I lade være med
- At samle alt i ét dokument. Det bliver for tungt at læse og for svært at ændre.
- At lade procedurer kræve direktionens underskrift. Det forsinker ændringer, der burde ske i løbet af en dag.
- At skrive retningslinjer, der gentager politikken. Hvert niveau skal tilføje noget.
- At have dokumenter, der ikke henviser til hinanden. Så ved ingen, hvad der går forud.
- At glemme registrene. De er beviset for, at resten bliver fulgt.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne bygge en struktur, der passer til jeres størrelse, og skal kunne genbruge det, I allerede har. Spørg, om den eksterne foreslår et bestemt dokumentsystem, og om der er en økonomisk interesse i det.
- ☐ En oversigt over jeres nuværende sikkerhedsdokumenter, placeret i de fire niveauer.
- ☐ Et forslag til, hvilke retningslinjer der mangler, og hvilke der kan slås sammen.
- ☐ En klar angivelse af, hvem der godkender hvert niveau.
- ☐ Henvisninger mellem dokumenterne, så sammenhængen kan følges.
- ☐ Ét fast sted til den gældende version og arkivet.
- ☐ En kort oversigt til direktionen, når retningslinjer ændres.
Første opgave
Saml de sikkerhedsdokumenter, I har, i én mappe, og bed CISO’en placere dem i de fire niveauer. Oversigten viser hurtigt, hvad der mangler, og hvad der overlapper. Herefter kan arbejdet planlægges som en del af risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 7, stk. 1, om ledelsesorganets godkendelse af foranstaltningerne og tilsyn med gennemførelsen.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025: definitionerne af dokumentation og politikker.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Informationssikkerhedspolitik · Hvor ofte skal sikkerhedspolitikkerne gennemgås?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
