Medarbejdernes sikkerhedsregler er det dokument, den enkelte ansatte faktisk skal læse og følge. De oversætter informationssikkerhedspolitikken til konkrete regler for hverdagen: hvordan man bruger sin computer, sin mail og sin telefon, hvordan man behandler fortrolige oplysninger, og hvad man gør, når noget går galt. Reglerne bør kunne læses på et kvarter, være skrevet i almindeligt sprog og være godkendt af direktionen. CISO-rollen skriver udkastet sammen med HR, og ledelsen godkender, præsenterer og følger reglerne selv.
Politikken og reglerne er to dokumenter
Informationssikkerhedspolitikken er ledelsens overordnede beslutning om mål, ansvar og retning. Den henvender sig til ledelse, CISO og leverandører og bliver sjældent læst af lagermedarbejderen. Reglerne henvender sig til alle ansatte og beskriver, hvad de skal og ikke må. Hvad politikken skal indeholde, står i Informationssikkerhedspolitik, og hvordan dokumenterne hænger sammen med retningslinjer og procedurer, står i Politik, retningslinjer og procedurer.
Ofte er problemet, at reglerne er gemt inde i politikken eller spredt ud i personalehåndbogen, IT-leverandørens velkomstbrev og en gammel mail. Medarbejderen kan ikke følge regler, vedkommende ikke kan finde.
Hvad der hører i reglerne
En mindre virksomhed kan klare sig med otte til ti emner. Et forslag:
- Login og adgangskoder, herunder at koder er personlige, og at MFA bruges, hvor det er krævet.
- Mail og beskeder, fx at betalinger og ændrede kontonumre altid bekræftes ad en anden kanal.
- Fortrolige oplysninger, hvor de må gemmes, og hvem de må deles med.
- Udstyr, hvordan computere og telefoner låses, opdateres og beskyttes, og hvad der gælder private enheder.
- Programmer og tjenester, herunder at nye værktøjer og generativ AI kun bruges efter godkendelse.
- Arbejde uden for kontoret, med henvisning til reglerne for hjemmearbejde og rejser.
- Melding af hændelser, med den faste meldevej og en opfordring til at melde egne fejl.
- Ved fratrædelse, at udstyr afleveres, og at fortrolighed fortsat gælder.
Reglerne bør også oplyse, hvem medarbejderen kan spørge, når noget er uklart. Et navn eller en fast adresse gør det nemmere at spørge først. Hvilke emner der fylder mest, afhænger af forretningen. I en tandlægeklinik med 15 ansatte vil reglerne om patientoplysninger veje tungest, mens reglerne om udstyr kan holdes korte.
Hvert emne kan fylde fem til ti linjer. Reglerne bør skrives som handlinger: “Lås skærmen, når du går fra den” fungerer bedre end “Brugeren er ansvarlig for at beskytte arbejdsstationen mod uautoriseret adgang”.
Hvad der ikke hører i reglerne
Tekniske opsætninger, leverandøraftaler og risikovurderinger hører hjemme i andre dokumenter. Det samme gælder regler, der kun vedrører få personer, fx administratorer. De kan få deres egne instrukser. Jo færre emner der står i medarbejderreglerne, jo større er chancen for, at de bliver læst og husket.
Godkendelse og ansættelsesforholdet
Reglerne bør godkendes af direktionen og fremlægges for bestyrelsen eller det samlede ledelsesorgan sammen med de øvrige foranstaltninger. Styrelsen for Samfundssikkerhed (SAMSIK) bemærker i sin gennemgang af personalesikkerhed, at sikkerhedsansvar kan skrives ind i kontrakter og ansættelsesaftaler, og at virksomheden bør udarbejde og kommunikere de ansættelsesretlige regler, der gælder ved overtrædelse af politikker og procedurer.
Den del bør ske i samarbejde med HR og eventuelt en arbejdsretlig rådgiver. Denne tekst er ikke juridisk rådgivning, og konsekvenser af overtrædelser skal passe til den enkelte virksomheds ansættelsesforhold og eventuelle overenskomst. For ledelsen er det vigtige, at reglerne er meddelt medarbejderne på en måde, så det kan dokumenteres, at de har modtaget dem.
Introduktion og gentagelse
Regler, der sendes ud som en vedhæftet fil, bliver sjældent læst. Følgende har bedre chance for at virke:
- Ved ansættelsen: lederen gennemgår reglerne med den nye medarbejder i den første uge, og medarbejderen bekræfter at have læst dem.
- En gang om året: reglerne gennemgås på et personalemøde, gerne med ét emne i fokus og et eksempel fra hverdagen.
- Ved ændringer: nye regler forklares, før de træder i kraft, med en begrundelse.
- I træningen: awareness-programmet bygger på reglerne, så træning og regler siger det samme.
Afdelingslederne bør kunne svare på spørgsmål om reglerne. De har brug for en kort gennemgang, før medarbejderne får reglerne, så de kender begrundelsen for hver af dem.
Det tæller meget, at direktøren selv præsenterer reglerne. Når ledelsen siger reglerne højt og overholder dem, har de en helt anden vægt end en mail fra IT.
Når reglerne ikke passer
Nogle regler vil i praksis være svære at følge for bestemte funktioner. Så skal der være en vej til at søge om en undtagelse, med begrundelse og udløbsdato, se Undtagelser fra sikkerhedsreglerne. Mange undtagelser på samme regel er et tegn på, at reglen skal skrives om.
Det skal I lade være med
- At kalde politikken for medarbejderreglerne. De to dokumenter har forskellige læsere.
- At skrive juridisk eller teknisk. Reglerne skal forstås af alle.
- At sende reglerne ud uden at gennemgå dem. Underskriften alene ændrer intet.
- At give ledelsen særregler. Undtagelser i toppen svækker reglerne i hele huset.
- At lade reglerne stå uændret i årevis. Nye værktøjer og trusler kræver opdatering.
Det skal I kræve af den eksterne
- ☐ Et udkast på højst to til tre sider, skrevet i almindeligt sprog.
- ☐ En henvisning fra hver regel til det punkt i politikken, den bygger på.
- ☐ Et samarbejde med HR om den ansættelsesretlige del og om bekræftelsen fra medarbejderne.
- ☐ Et forslag til introduktion for nye og en årlig gennemgang.
- ☐ En fast revision af reglerne, mindst en gang om året.
Sådan kommer I i gang
Find de regler, medarbejderne har fået i dag, uanset hvor de står, og læg dem ved siden af hinanden. Bed den eksterne CISO om at samle og forenkle dem til ét dokument, som direktionen kan godkende og præsentere på næste personalemøde.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 7 og 9 (cyberhygiejne og personalesikkerhed), § 7, stk. 1 (godkendelse).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger, juni 2025: afsnit 9.a om personalesikkerhed, herunder sikkerhedsansvar i ansættelsesaftaler og regler ved overtrædelser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvordan får vi medarbejderne til at melde det mistænkelige? · Generativ AI i virksomheden
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
