ISO 27001
International standard med krav til et ledelsessystem for informationssikkerhed (ISMS), der styrer sikkerheden ud fra en risikovurdering.
Kort svar
ISO/IEC 27001 er den internationale standard for et ledelsessystem for informationssikkerhed – på engelsk ISMS (Information Security Management System). Den stiller krav til, hvordan en organisation systematisk vurderer risici, vælger sikkerhedstiltag, fordeler ansvar, dokumenterer og løbende forbedrer sin sikkerhed. Den gældende udgave er fra 2022. Virksomheder kan bruge standarden som ramme uden at blive certificeret, eller de kan lade et uafhængigt organ certificere dem.
- PlanlægAfgræns, vurdér risici og vælg tiltag.
- GennemførIndfør tiltag, roller, politikker og procedurer.
- OvervågMål, auditér og lad ledelsen evaluere.
- ForbedrRet afvigelser og justér efter nye risici.
Hvad standarden kræver
Ifølge ISO definerer ISO/IEC 27001 de krav, et ledelsessystem for informationssikkerhed skal leve op til, og den kan bruges af virksomheder af enhver størrelse og i alle brancher. At leve op til standarden betyder, at virksomheden har et system til at styre risici for de data, den ejer eller håndterer.
Sikkerdigital.dk beskriver standarden som en systematisk måde at strukturere det løbende arbejde med at beskytte forretningskritisk information. Den stiller bl.a. krav til risikostyring, dokumentation og fordeling af roller og ansvar – og hjælper organisationen med at fastlægge et sikkerhedsniveau, der passer til dens profil.
Godt at vide: ISO 27001 beskriver hvordan I styrer sikkerheden, ikke præcis hvilke produkter I skal bruge. Der står fx ikke, at I skal have et bestemt antivirusprogram – men at I skal have vurderet risikoen og valgt passende tiltag.
Udgaver og relaterede standarder
Den gældende udgave er ISO/IEC 27001:2022 (udgave 3, udgivet oktober 2022), som erstattede 2013-udgaven. I 2024 kom et tillæg (Amendment 1) om klimarelaterede forhold. ISO har desuden udgivet en praktisk håndbog om ISMS for små og mellemstore virksomheder.
Standarden suppleres af ISO/IEC 27002, der giver vejledning om de enkelte sikkerhedstiltag.
Certificering – nødvendig eller ej?
Sikkerdigital.dk skriver, at man kan vælge at lade sin organisation certificere, men at det ikke er et must. En certificering kan øge troværdigheden og give konkurrencefordele. Danske statslige myndigheder er forpligtet til at følge ISO 27001, mens de fleste standarder er frivillige for private virksomheder.
Certificering udføres af et uafhængigt certificeringsorgan og indebærer typisk en indledende audit og løbende opfølgning.
Eksempel: En softwarevirksomhed med 25 ansatte leverer til en større kunde, der kræver dokumenteret informationssikkerhed hos sine leverandører. Virksomheden bruger ISO 27001 som ramme, gennemfører en risikovurdering, beskriver ansvar og procedurer og vælger efter to år at blive certificeret.
ISO 27001 vs. D-mærket
Begge kan dokumentere, at en virksomhed arbejder systematisk med sikkerhed, men de er bygget forskelligt. D-mærket er en dansk ordning, der også dækker ansvarlig dataanvendelse og AI, og som tilpasser kravene efter virksomhedens størrelse og type. ISO 27001 er en international standard, der lader virksomheden selv afgøre tiltagene ud fra en risikovurdering.
| ISO 27001 | D-mærket | |
|---|---|---|
| Hvad er det? | International ledelsesstandard | Dansk mærkningsordning |
| Fokus | Styringssystem for informationssikkerhed | IT-sikkerhed og ansvarlig dataanvendelse |
| Tilpasning | Virksomheden vælger tiltag ud fra risiko | Krav efter virksomhedsgruppe I–IV |
| Kontrol | Certificering hos et certificeringsorgan | Tilsyn ved D-mærkets auditorer |
| Gyldighed | Typisk cyklus med løbende audits | Ét år ad gangen |
Passer det til en lille virksomhed?
Vores vurdering: For mange virksomheder med 5–50 ansatte er en fuld certificering mere, end behovet kræver – men tankegangen er nyttig. En simpel risikovurdering, klare ansvarsområder, en IT-politik og en årlig gennemgang giver meget af værdien. Sikkerdigital.dk påpeger, at standarder også kan bruges som inspirationskatalog. Kræver kunder, NIS2 eller jeres branche mere, kan I bygge videre derfra.
Spørgsmål I kan stille
- Kræver vores kunder eller samarbejdspartnere dokumentation for informationssikkerhed – og i hvilken form?
- Har vi en risikovurdering, der danner grundlag for vores sikkerhedstiltag?
- Hvem i ledelsen ejer informationssikkerheden?
- Er vi omfattet af NIS2, og kan ISO 27001 hjælpe os med at dokumentere det?
Hvornår giver det mening at få hjælp?
Furesø Data kan hjælpe med den tekniske del af en risikovurdering og med dokumentationen af jeres IT-opsætning, som en ISO 27001-proces kræver. Se GDPR og compliance.
Spørgsmål og svar
Er vi sikre, når vi er ISO 27001-certificeret?
Nej, certificeringen viser, at I har et system til at styre sikkerheden, ikke at I ikke kan blive ramt. Systemet skal også følges i praksis.
Kan vi købe standarden?
Ja, ISO-standarder er ophavsretligt beskyttede og sælges via ISO og nationale standardiseringsorganer som Dansk Standard.
Forbehold: Teksten er en generel forklaring. Krav om at følge ISO 27001 kan følge af lovgivning (fx for statslige myndigheder), kontrakter eller branchekrav; den konkrete standardtekst købes hos ISO eller Dansk Standard.
Kilder (tjekket 31. oktober 2026)