IT-politik
Et skriftligt sæt regler for, hvordan virksomheden og medarbejderne bruger og beskytter IT, data og udstyr – godkendt af ledelsen.
Kort svar
En IT-politik er virksomhedens skriftlige regler for brug og beskyttelse af IT: hvem der må hvad, hvordan data håndteres, hvilke enheder og programmer der er tilladt, og hvad man gør, når noget går galt. Typisk består den af en kort, overordnet politik, som ledelsen godkender, og nogle mere konkrete regler for medarbejderne. En politik virker kun, hvis den er kendt, realistisk og faktisk understøttet af de tekniske indstillinger.
- Overordnet politikLedelsens mål og ambitionsniveau for IT- og informationssikkerhed.
- Emnespecifikke reglerFx adgangskoder, mail, egne enheder, AI, fjernarbejde og backup.
- ProcedurerTrin-for-trin: ny medarbejder, fratrædelse, hændelser, indkøb.
- Tekniske indstillingerMFA, opdateringer, adgangsrettigheder – der hvor reglerne håndhæves.
To niveauer: politik og regler
Sikkerdigital.dk beskriver i sin vejledning om politikker for informationssikkerhed et hierarki: en overordnet informationssikkerhedspolitik, der sætter rammen og ledelsens prioriteter, og underliggende politikker eller retningslinjer, som er mere konkrete og handlingsanvisende. Den model passer også til mindre virksomheder – blot i en enklere udgave.
I en virksomhed med 10–30 medarbejdere er det sjældent nødvendigt med et tykt dokument. En til to siders overordnet politik og et kort sæt regler, som medarbejderne kan læse på ti minutter, rækker langt. Det vigtigste er, at reglerne passer til, hvordan I faktisk arbejder.
Hvad en IT-politik typisk dækker
- Adgang og login: MFA, adgangskoder, deling af konti (gerne forbudt), og hvem der godkender nye adgange. Se adgangsstyring.
- Enheder: Firmaudstyr, egne telefoner og computere (BYOD), skærmlås og hvad der sker ved tab eller tyveri.
- Data og deling: Hvor filer gemmes, hvordan der deles med eksterne, og hvilke oplysninger der kræver ekstra omhu.
- Programmer og tjenester: Hvem der må tage nye cloudtjenester i brug – det er her, skygge-IT opstår eller undgås.
- AI-værktøjer: Hvad der må indtastes i AI-tjenester. Mange samler det i en særskilt AI-politik.
- Hændelser: Hvem man kontakter, hvis man har klikket på et link, mistet en telefon eller ser noget mistænkeligt.
- Til- og fratrædelse: Fast fremgangsmåde ved onboarding og offboarding.
IT-politik, IT-governance og beredskabsplan
IT-governance er styringen – hvordan beslutninger om IT træffes og følges op. IT-politikken er et af de dokumenter, som governance-arbejdet producerer og vedligeholder. Beredskabsplanen er den praktiske drejebog for nedbrud og angreb.
| Begreb | Svarer på | Typisk ejer |
|---|---|---|
| IT-politik | Hvilke regler gælder for brug og beskyttelse af IT? | Ledelsen godkender, alle følger |
| IT-governance | Hvem beslutter, prioriterer og følger op på IT? | Ledelsen |
| Beredskabsplan | Hvad gør vi konkret, når noget går galt? | Ledelsen og IT-ansvarlig |
Typiske misforståelser
- »Vi har en skabelon, så vi er dækket.« En kopieret politik, der omtaler systemer og roller, I ikke har, bliver ikke læst og kan ikke følges.
- »Politikken er IT-leverandørens opgave.« Leverandøren kan skrive udkast og håndhæve reglerne teknisk, men det er ledelsen, der beslutter niveauet og står på mål for det.
- »Når den er skrevet, er vi færdige.« Sikkerdigital.dk taler om politikker, der skal vedligeholdes løbende. Gennemgå den mindst ved større ændringer – nye systemer, fjernarbejde, AI eller en sikkerhedshændelse.
Eksempel: En revisionsvirksomhed skriver i politikken, at kundedata kun må gemmes i SharePoint. Samtidig kan alle medarbejdere frit gemme i private cloudtjenester. Politikken bliver først reel, når IT-opsætningen også begrænser det – eller når der er en god grund til at acceptere afvigelsen.
Spørgsmål I kan stille
- Ved alle medarbejdere, hvor reglerne står, og hvem de skal ringe til ved en hændelse?
- Understøtter vores tekniske opsætning det, politikken lover?
- Hvem må tage nye programmer og cloudtjenester i brug?
- Hvornår har ledelsen sidst gennemgået politikken?
- Dækker politikken egne enheder, fjernarbejde og AI?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når politikken skal kobles til jeres faktiske opsætning i Microsoft 365, eller når en kunde eller forsikring beder om dokumentation. Furesø Data kan hjælpe med udkast og med at få de tekniske indstillinger til at matche reglerne – se IT-politik.
Spørgsmål og svar
Er en IT-politik lovpligtig?
Der er ikke ét generelt krav om en IT-politik for alle virksomheder. Men regler som GDPR kræver passende sikkerhedsforanstaltninger, og en del kunder, forsikringer og standarder som ISO 27001 forventer dokumenterede politikker. Tjek de krav, der gælder netop jer.
Skal medarbejderne skrive under på IT-politikken?
Det er ikke et krav i sig selv, men mange vælger at lade medarbejdere bekræfte, at de har læst reglerne. Det vigtigste er, at reglerne er kendt og forstået – fx gennem en kort gennemgang ved ansættelse.
Forbehold: Teksten er en generel forklaring og ikke juridisk rådgivning. Krav til dokumentation afhænger af jeres branche, kunder og fx GDPR og NIS2.
Kilder (tjekket 31. oktober 2026)