En informationssikkerhedspolitik er ledelsens korte, skriftlige udmelding om, hvorfor sikkerhed er vigtig for virksomheden, hvilke mål der gælder, og hvem der har ansvaret. Den bør fylde to til fire sider og underskrives af den administrerende direktør, gerne efter godkendelse i bestyrelsen. De detaljerede regler for adgang, backup og leverandører hører hjemme i retningslinjer under politikken. En skabelon kan give inspiration til strukturen, men indholdet skal afspejle jeres egne risici og jeres egen organisation.
Politikkens opgave
Politikken er det dokument, alt andet i sikkerhedsarbejdet henviser til. Den fortæller medarbejdere, leverandører og kunder, at ledelsen har taget stilling. Når en medarbejder spørger, hvorfor flerfaktor-login er obligatorisk, skal svaret kunne føres tilbage til politikken. Når en kunde beder om dokumentation, er politikken ofte det første, der efterspørges.
I NIS2-loven nævnes politikker for risikoanalyse og informationssystemsikkerhed som det første punkt blandt de foranstaltninger, der som minimum skal være på plads, jf. § 6, stk. 1, nr. 1. ISO/IEC 27001 stiller krav om, at den øverste ledelse fastlægger en politik for informationssikkerhed. Begge steder er pointen, at politikken skal komme fra ledelsen.
Det, politikken skal indeholde
En brugbar politik for en mindre eller mellemstor virksomhed kan bygges op af syv dele.
- Formål. Hvorfor informationssikkerhed betyder noget for netop denne virksomhed, fx leverancer til kunder, persondata eller produktion.
- Omfang. Hvilke dele af virksomheden, hvilke lokationer og hvilke typer information politikken gælder for.
- Mål. Få, forståelige mål, som kan følges op, fx at kritiske systemer kan genetableres inden for en bestemt tid.
- Ansvar. Hvem der ejer politikken, hvem der leder sikkerhedsarbejdet, og hvad der forventes af ledere og medarbejdere.
- Risikotilgang. At beslutninger træffes ud fra en risikovurdering, og hvem der må acceptere risici.
- Krav til leverandører. At leverandører med adgang til data og systemer er omfattet.
- Opfølgning. Hvor ofte politikken gennemgås, og hvad der sker ved brud.
Det er fristende at lægge tekniske regler ind i politikken. Hold dem ude. Regler om adgangskoder og opdateringer ændrer sig oftere end ledelsens overordnede holdning, og politikken skal kunne stå i flere år med en årlig gennemgang.
Hvorfor en skabelon sjældent holder
Skabeloner er skrevet til alle og derfor til ingen. De lover ofte mere, end virksomheden kan holde, fx døgnovervågning eller årlig test af alle systemer. Når en kunde eller et forsikringsselskab senere læser politikken, bliver løfterne til forventninger, og forskellen mellem papir og praksis bliver synlig.
Tag en installationsvirksomhed med 70 ansatte, der henter en skabelon fra nettet. Den lover kryptering af alle bærbare enheder og fast klassifikation af dokumenter. I virkeligheden er halvdelen af maskinerne ikke krypteret, og ingen klassificerer noget. Politikken er dermed et dokument, der beskriver en anden virksomhed. En bedre vej er at lade CISO’en skrive udkastet ud fra risikovurderingen og interviews med ledelsen og nøglepersoner. Det tager længere tid, men resultatet kan forsvares. Hvordan politikken spiller sammen med testarbejdet, er beskrevet under sikkerhedspolitik og test.
Sproget betyder også noget. Politikken læses af medarbejdere uden IT-baggrund, af kunder og af forsikringsselskaber. Korte sætninger og almindelige ord gør den lettere at forstå og sværere at misforstå. Fagudtryk, der ikke kan undgås, bør forklares første gang. En politik, som direktøren selv kan forklare på et medarbejdermøde, er som regel skrevet rigtigt.
Hvem skriver under
Den administrerende direktør underskriver politikken, fordi det er direktionen, der har den daglige ledelse og skal sætte rammerne i drift. Har virksomheden en bestyrelse, er det god praksis, at politikken forelægges og godkendes dér, især hvis virksomheden er omfattet af NIS2-loven, hvor ledelsesorganet skal godkende foranstaltningerne. Hvem ledelsesorganet er, afhænger af selskabsformen og er uddybet i artiklen om ledelsesorganet efter NIS2-loven.
CISO’en skriver udkastet, men underskriver ikke. Det gælder i særlig grad en ekstern CISO, som ikke har ledelsesansvar i virksomheden. Underskriften viser, hvem der står bag, og den skal derfor komme fra en person, der kan holde organisationen op på indholdet.
Fra politik til hverdag
En politik, der kun ligger i en mappe, gør ingen forskel. Den skal formidles til medarbejderne, gerne i en kort version på en side, og nye medarbejdere skal præsenteres for den ved ansættelsen. Under politikken ligger retningslinjerne for de konkrete områder. De kan godkendes af direktøren alene og ændres oftere. Hvordan politikken og retningslinjerne indgår i resten af systemet, står i ISMS i en mindre virksomhed.
Politikken tages op hvert år og desuden, når virksomheden ændrer sig væsentligt, fx ved opkøb, ny driftsleverandør eller nye lovkrav. Gennemgangen kan ligge som et fast punkt i årshjulet for sikkerhedsarbejdet.
Det skal I lade være med
- At skrive tekniske detaljer ind i politikken. De forælder og gør dokumentet tungt.
- At love mere, end I kan levere. Politikken bliver læst af kunder og forsikring.
- At lade CISO’en eller IT-leverandøren underskrive. Underskriften tilhører ledelsen.
- At glemme den årlige gennemgang. En politik med en dato fra for fem år siden svækker tilliden.
- At oversætte en udenlandsk koncernpolitik uden tilpasning. Den skal passe til den danske enhed.
Det skal I kræve af den eksterne
Den eksterne CISO skal skrive en politik, der passer til jeres virksomhed, og forklare hvert afsnit for ledelsen før underskrift. Sikkerhedsrådgiveren bør heller ikke skrive bestemte produkter eller leverandører ind i politikken, og rådgivningen bør komme fra en, der ikke har økonomiske bånd til nogen af dem.
- ☐ Et udkast bygget på jeres risikovurdering og interviews.
- ☐ Et dokument på højst fire sider.
- ☐ Retningslinjer adskilt fra politikken.
- ☐ En gennemgang med direktionen, før den underskrives.
- ☐ En kort udgave til medarbejderne.
- ☐ En fast dato for den årlige gennemgang.
Sådan kommer I videre
Find jeres nuværende politik frem, hvis den findes. Læs den med én bestemt kunde i tankerne, og spørg, om hver sætning er sand i dag. Det, der ikke er sandt, skal enten rettes i teksten eller i praksis. Den videre ramme for sikkerhedsarbejdet er beskrevet under risikovurdering og sikkerhedsstrategi.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 1, om politikker for risikoanalyse og informationssystemsikkerhed, og § 7 om ledelsesorganets godkendelse.
- ISO/IEC 27001 hos ISO: krav om, at den øverste ledelse fastlægger en informationssikkerhedspolitik.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem må acceptere en risiko? · Når kunderne stiller sikkerhedskrav
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
