Skal vi certificeres? Ledelsens overvejelser om ISO 27001

Spørgsmålet om ISO 27001 kan nå ledelsen udefra: en kunde spørger, en konkurrent skilter med et certifikat, eller en rådgiver anbefaler det. Svaret afhænger af, hvad virksomheden vil opnå, og hvad den er parat til at forpligte sig til. En certificering er ikke et projekt med en slutdato, men et ledelsessystem, der skal drives og vedligeholdes. Ledelsen skal derfor beslutte, om det er det rigtige redskab, før nogen begynder at skrive procedurer.

Hvad standarden er, kort fortalt

Dansk Standard beskriver ISO/IEC 27001 som en international ledelsesstandard for informationssikkerhed. Standarden stiller krav til etablering, implementering, vedligeholdelse og løbende forbedring af et ledelsessystem for informationssikkerhed, og en del af kravene handler om risikostyring. Det er muligt at blive certificeret efter standarden, men Dansk Standard certificerer ikke selv. Det gør certificeringsorganer.

Herhjemme akkrediterer DANAK certificeringsorganer. DANAK beskriver akkreditering som et system, der skal skabe tillid til, at ydelserne opfylder bestemte krav. For ledelsen betyder det, at det kan betale sig at spørge, hvem der har udstedt et certifikat, og på hvilket grundlag.

Standarden fortæller altså, hvordan virksomheden styrer sin informationssikkerhed. Den siger ikke i sig selv, hvor stærk sikkerheden er i de enkelte systemer. → Certifikatet og den faktiske sikkerhed

Hvorfor overvejer I det?

Den første opgave for ledelsen er at skrive grunden ned. Grunden afgør, om certificering er det rigtige svar, eller om noget andet dækker behovet bedre.

Kunderne kræver det · undersøg, om kravet står i kontrakter eller udbudsmateriale, og om andet kan accepteres.
Kunderne spørger til det · et spørgsmål er ikke et krav, og en dokumenteret praksis kan være nok.
I vil have orden i sikkerheden · standarden kan bruges som ramme, også uden et certifikat.
Det vil se godt ud · en svag grund alene, fordi certifikatet skal holdes ved lige år efter år.

Hvis grunden er et kundekrav, hjælper det at se på kravet sammen med virksomhedens egne behov, så certificeringen ikke bliver det eneste, sikkerheden styres efter. → Kundekrav eller egne behov

Hvad beslutningen forpligter ledelsen til

Et ledelsessystem lever kun, hvis ledelsen deltager. Det betyder, at sikkerhed kommer på dagsordenen jævnligt, at risici vurderes og prioriteres, og at nogen har tid og mandat til at holde systemet ved lige. Dansk Standard fremhæver netop processen for løbende forbedring som det, der holder systemet effektivt, når risiciene ændrer sig.

Ledelsen bør derfor spørge sig selv om tre ting, før den siger ja:

Ejerskab · hvem i ledelsen står for systemet, og hvem gør arbejdet i hverdagen?
Kapacitet · har virksomheden folk til at vedligeholde dokumentation, risikovurderinger og opfølgning, eller skal der hentes hjælp?
Varighed · er ledelsen parat til at bære forpligtelsen også om nogle år, når den første begejstring har lagt sig?

Svarer ledelsen nej eller ved ikke til et af spørgsmålene, er det et signal om at vente eller at vælge en mindre forpligtende løsning.

Hvor sikkerhedstesten passer ind

En sikkerhedstest og en certificering besvarer forskellige spørgsmål. Certificeringen ser på, om virksomheden har et ledelsessystem, der lever op til standardens krav. Testen afprøver, om konkrete systemer kan modstå et forsøg på at misbruge dem.

For ledelsen kan testen spille tre roller i et certificeringsforløb:

Før beslutningen · et billede af, hvor virksomheden står, som gør det lettere at vurdere arbejdets omfang.
Under opbygningen · input til risikovurderingen, så prioriteringerne bygger på afprøvede forhold.
Efter certificeringen · en kontrol af, om de valgte foranstaltninger virker i praksis.

Hvordan testen passer ind i selve certificeringsforløbet, er beskrevet på penetrationtest.dk. Om testen er nødvendig for certificeringen, afklares med det certificeringsorgan, I vælger. → Hvilken test har vi brug for?

Hvis svaret er nej eller ikke endnu

Et nej til certificering er ikke et nej til ordentlig sikkerhedsstyring. Ledelsen kan vælge at bruge standarden som inspiration uden at gå efter et certifikat, og det kan være et fornuftigt mellemtrin for en virksomhed, der vil se, om arbejdet bærer, før den binder sig.

En mindre forpligtende vej kan bestå af få faste elementer, som ledelsen selv kan følge:

En risikovurdering · de vigtigste systemer og data, og hvad der skal til for at beskytte dem.
En navngiven ansvarlig · en person, der rapporterer til ledelsen om sikkerheden.
Afprøvning med jævne mellemrum · en sikkerhedstest af de vigtigste systemer efter en plan, ledelsen har godkendt.
En kort årlig status · hvad der er gjort, hvad der mangler, og hvad næste skridt er.

Kunder, der spørger til sikkerheden uden at kræve et certifikat, kan få et brugbart svar ud fra netop disse elementer. Hvis certificeringen senere bliver nødvendig, er grundlaget allerede lagt. → Hvem bestemmer, hvor ofte vi tester?

Et tænkt eksempel

En leverandør af lønsystemer til mellemstore virksomheder får spørgsmålet fra to store kunder i samme kvartal. Direktøren vil gerne svare med et certifikat, men bestyrelsen beder om et oplæg først.

Oplægget viser, at den ene kunde kræver certificering inden for et år, mens den anden blot vil se en beskrivelse af sikkerhedsarbejdet. Ledelsen beslutter at gå efter certificering, men sætter en driftschef på som ejer og afsætter tid til arbejdet i budgettet. Som første skridt bestilles en sikkerhedstest af lønportalen, så risikovurderingen kan bygge på et afprøvet grundlag. Bestyrelsen får status hvert kvartal, indtil certificeringen er på plads, og derefter én gang årligt. Den anden kunde får i mellemtiden en kort beskrivelse af sikkerhedsarbejdet, godkendt af direktøren, så svaret ikke venter på certifikatet. Ledelsen aftaler også, at beslutningen tages op igen, hvis kundekravet bortfalder.

Det skal I lade være med

At beslutte certificering uden at kende grunden · skriv den ned, og test den mod alternativerne.
At lægge hele opgaven hos IT · et ledelsessystem kræver ledelsens deltagelse.
At budgettere kun til selve certificeringen · vedligeholdelsen koster også tid.
At sætte lighedstegn mellem certifikat og afprøvet sikkerhed · de svarer på forskellige spørgsmål.
At vælge certificeringsorgan uden at spørge til akkreditering · spørg, hvem der står bag.

Hvad kan og ikke kan konkluderes

En certificering kan vise kunder og samarbejdspartnere, at virksomheden har et ledelsessystem for informationssikkerhed, der er vurderet af en uafhængig part. Den kan ikke vise, at alle systemer er fri for svagheder, og den erstatter ikke en afprøvning af dem. Om certificering er den rigtige vej, afhænger af virksomhedens egne grunde. → Hvad testen ikke erstatter

Tjekliste før beslutningen om certificering

☐ Er grunden til certificeringen skrevet ned og drøftet i ledelsen?
☐ Er det afklaret, om kunderne kræver certifikatet eller blot spørger?
☐ Er der udpeget en ejer i ledelsen og en, der gør arbejdet?
☐ Er der afsat tid og budget til vedligeholdelse efter certificeringen?
☐ Er det besluttet, hvordan sikkerhedstest indgår før og efter?
☐ Er det afklaret, om certificeringsorganet er akkrediteret?

Kilder

Dansk Standard, ISO/IEC 27001 Informationssikkerhed: standarden som international ledelsesstandard; krav til etablering, implementering, vedligeholdelse og løbende forbedring af et ledelsessystem; at Dansk Standard ikke selv certificerer.
DANAK, Om akkreditering: akkreditering som et system, der skal skabe tillid til, at ydelser opfylder bestemte krav.

Senest gennemgået: oktober 2026.