ISO 27001 som fundament: få mere ud af compliance-budgettet i en lille virksomhed

Hvis du vil have mest muligt ud af compliance-budgettet i en lille virksomhed, er ISO 27001 som fundament ofte den mest økonomiske løsning. Kunders sikkerhedsspørgeskemaer, forsikringsselskabets krav og lovgivning som GDPR og NIS2 spørger nemlig i vid udstrækning om det samme: Hvem har ansvaret, hvilke risici har I vurderet, hvordan beskytter I data, og kan I dokumentere det? Med ét ledelsessystem besvarer du de spørgsmål én gang og genbruger svarene. Det kræver en ledelse, der afsætter tid, en afgrænset start og en realistisk plan. En certificering er ikke et krav fra første dag.

Hvorfor ISO 27001 kan samle kravene i ét ledelsessystem

I mange små virksomheder opstår compliance som en række enkeltstående opgaver. En kunde sender et sikkerhedsskema, og en person bruger en uge på at besvare det. Forsikringsselskabet vil vide, om der er backup og multifaktorlogin, og en anden udfylder en blanket. Så kommer en databehandleraftale eller et nyt lovkrav, og endnu et dokument bliver skrevet fra bunden. Hver opgave virker rimelig, men samlet betaler virksomheden flere gange for den samme viden.

ISO 27001 er en international standard for et ledelsessystem for informationssikkerhed (ISMS). Den foreskriver ikke bestemte produkter. Den kræver, at virksomheden har styr på sine risici, har fordelt ansvar, har valgt passende sikkerhedstiltag og løbende kontrollerer, at de virker. Vælger du ISO 27001 som fundament, får du en fælles struktur, som krav fra kunder, forsikring og lovgivning kan hænges op på. Det er billigere end at bygge en ny struktur hver gang.

Standarden bygger på en klar opbygning: kontekst og scope, ledelsens ansvar, risikovurdering, mål, drift, evaluering og forbedring. Dertil kommer et katalog af kontroller i bilag A. Den nuværende udgave, ISO/IEC 27001:2022, har 93 kontroller fordelt på fire temaer: organisatoriske, personrelaterede, fysiske og teknologiske. Du skal ikke indføre dem alle. Du vurderer, hvilke der er relevante, og begrunder fravalg i en anvendelseserklæring (Statement of Applicability).

Hvor kravene overlapper i praksis

Overlappet er det, der gør budgetvinklen holdbar. Her er de typiske kilder til krav og de elementer i et ISMS, de kan trække på:

• Kunders sikkerhedsspørgeskemaer: De spørger ofte om adgangsstyring, backup, leverandørstyring, hændelseshåndtering og medarbejdernes sikkerhedsbevidsthed. Det er standardemner i et ISMS, og du kan genbruge de samme svar.
• Cyberforsikring: Forsikringsselskaber stiller typisk spørgsmål om backup, opdateringer, adgangskontrol og beredskab. Dokumenterede processer gør det lettere at udfylde en ansøgning og at vise, at tiltagene faktisk bruges. Spørg dit selskab, hvilke krav der gælder i netop jeres police.
• GDPR: Artikel 32 kræver passende tekniske og organisatoriske sikkerhedsforanstaltninger. Datatilsynet er den danske myndighed på området. Et ISMS dækker ikke hele GDPR, fx registerføring og de registreredes rettigheder, men det understøtter sikkerhedsdelen.
• NIS2: Direktivet er indført i Danmark gennem cybersikkerhedsloven og stiller krav om risikostyring og håndtering af hændelser for omfattede virksomheder. Om I er omfattet, afhænger af sektor og størrelse. Tjek det hos Center for Cybersikkerhed og den sektormyndighed, der gælder for jer.
• DORA: Hvis I leverer til eller er en del af den finansielle sektor, kan kunder og samarbejdspartnere stille krav til ICT-risiko og leverandørstyring. Finanstilsynet er relevant kontaktpunkt.
• Cyber Resilience Act (CRA): Gælder virksomheder, der fremstiller eller sælger produkter med digitale elementer. Her rækker ISO 27001 ikke hele vejen, fordi CRA stiller specifikke krav til produktet, fx sikker udvikling, sårbarhedshåndtering, SBOM og teknisk dokumentation. ISMS’et giver dog et godt udgangspunkt for roller, risikovurdering og dokumentationsstyring.

Ærligt talt er ISO 27001 ikke en genvej, der automatisk opfylder alle disse krav. Gevinsten er, at fællesnævneren, altså risikovurdering, ansvar, politikker, bevisførelse og opfølgning, kun bygges én gang. Derefter skal du kun lægge de særlige krav oven på.

Hvad ISO 27001 kræver af tid og ressourcer

Den største post på regnskabet er sjældent selve standarden. Det er de timer, som ledelsen og nøglemedarbejdere bruger. I en lille virksomhed handler det typisk om tre ressourcer:

1. Ledelsens tid. Standarden kræver, at topledelsen sætter retning, godkender politikker, afsætter ressourcer og deltager i en årlig ledelsesgennemgang. Det kan ikke uddelegeres helt til andre.
2. En intern ansvarlig. Én person skal eje ISMS’et i hverdagen. Det er ofte IT-ansvarlig, driftschef eller en leder med økonomi- og kvalitetsansvar. Aftal, hvor mange timer om ugen der er afsat, og hvad der så ikke skal laves.
3. Ekstern sparring. En rådgiver kan hjælpe med scope, risikovurdering og dokumentation, så I undgår at opfinde alt selv. Prisen varierer med virksomhedens størrelse og kompleksitet, så bed om et fast tilbud med klar afgrænsning i stedet for åben timebetaling uden loft.

Dertil kommer eventuelle tekniske investeringer, fx multifaktorlogin, backup eller logning. Her bør du først undersøge, hvad I allerede har. Mange små virksomheder har flere af kontrollerne på plads uden at have dem beskrevet, og så er opgaven dokumentation snarere end indkøb.

Certificering er en separat beslutning

Du kan arbejde efter ISO 27001 uden at lade dig certificere. Et certifikat udstedes af et certificeringsorgan efter en audit, og det kræver typisk løbende opfølgningsaudits og en fornyelse efter en årrække. I Danmark akkrediteres certificeringsorganer af DANAK. Certificering giver mening, når kunder eller udbud konkret kræver det, eller når det sparer jer for at gennemgå kunders egne audits igen og igen. Ellers kan et veldokumenteret ISMS, der er internt gennemgået, være nok i første omgang.

Sådan starter du småt: trin for trin

Du behøver ikke bygge hele systemet på én gang. En fornuftig rækkefølge, hvor hvert trin bygger videre på det forrige, ser sådan ud:

1. Kortlæg hvilke krav der faktisk gælder. Saml de sikkerhedsspørgeskemaer, kontrakter, forsikringsbetingelser og lovkrav, I allerede har. Skriv dem ind i ét ark med kolonnerne krav, kilde og hvem der spørger. Det er første gang, du kan se overlappet med egne øjne.
2. Afgræns scope. Start med den del af virksomheden, der håndterer de vigtigste data eller leverer til de kunder, der stiller krav. Et snævert scope er billigere og kan udvides senere.
3. Lav en enkel risikovurdering. Identificér de vigtigste værdier (kundedata, produktionssystemer, kildekode, økonomi), de realistiske trusler og konsekvenserne. Brug en simpel skala, og undgå en kompleks model, som ingen kan vedligeholde.
4. Vælg kontroller ud fra risikoen. Tag udgangspunkt i det, der reducerer mest risiko for færrest penge: adgangsstyring og multifaktorlogin, opdateringer, backup med test af gendannelse, leverandørstyring og en plan for sikkerhedshændelser.
5. Skriv de nødvendige politikker kort. En informationssikkerhedspolitik, retningslinjer for adgang, backup og hændelser kan hver fylde en eller to sider. Korte dokumenter bliver brugt og opdateret.
6. Træn medarbejderne. Sikkerhedsbevidsthedstræning er både et ISO-krav og noget, kunder og forsikringsselskaber spørger til. Det kan klares med korte workshops, som bygger på virksomhedens egne risici.
7. Gennemfør en intern audit og en ledelsesgennemgang. Det er her, du opdager huller, før en kunde eller certificeringsorgan gør det. Dokumentér, hvad der blev besluttet.
8. Lav et årshjul. Planlæg, hvornår risikovurdering, leverandørgennemgang, adgangsrettigheder og politikker gennemgås. Så bliver compliance en rutine, ikke et nyt projekt hvert år.

Typiske fejl der æder budgettet

• At købe skabeloner uden at tilpasse dem. Færdige dokumenter ser billige ud, men en auditor eller kunde opdager hurtigt, hvis politikken ikke afspejler virksomhedens virkelige arbejdsgange. Så skal alt skrives om.
• For stort scope fra start. Hvis hele virksomheden, alle systemer og alle lokationer medtages, vokser arbejdet ud over, hvad en lille organisation kan vedligeholde.
• Ingen ejer. Når ansvaret er delt mellem alle, er det i praksis ingens. Udpeg én person og afsæt faste timer.
• Dokumentation uden praksis. En perfekt politik om backup hjælper ikke, hvis ingen har testet, at man kan gendanne data. Auditors og forsikringsselskaber ser på, om tingene sker.
• At behandle hvert regelsæt som sit eget projekt. Det er den dyreste fejl. Brug i stedet det fælles kravark og ISMS’et som rygrad, og tilføj kun det, der er specielt for fx CRA, NIS2 eller DORA.
• At glemme leverandørerne. Mange sikkerhedshændelser starter hos en underleverandør. Hold styr på, hvem der behandler jeres data, og hvad der står i aftalerne.

Hvornår du bør hente hjælp, og hvad du skal spørge om

Små virksomheder kan godt tage de første skridt selv, især kortlægning af krav og en simpel risikovurdering. Ekstern hjælp giver mest værdi, når du skal afgrænse scope, tolke krav fra flere regelsæt eller forberede en certificering. Er I producent af software eller forbundne produkter, bør du tidligt få afklaret, hvad CRA betyder for jeres produkter. Nogle rådgivere tilbyder en indledende foranalyse af Cyber Resilience Act, og et sådant overblik kan afgøre, hvor meget der skal oven på et ISMS.

Uanset hvem du vælger, så spørg om:

• Hvad der konkret er med i tilbuddet, og hvad der ikke er?
• Om dokumenterne tilpasses jeres virksomhed, og om I ejer dem bagefter?
• Hvordan arbejdet fordeles mellem rådgiver og jeres egne medarbejdere?
• Hvordan overlap mellem ISO 27001 og andre krav håndteres, så arbejdet ikke gentages?
• Hvad der sker efter første år: Hvem vedligeholder årshjulet?

Husk, at juridiske vurderinger af, om I er omfattet af NIS2, DORA eller CRA, bør afklares med relevante myndigheder og specialiseret rådgivning. Denne artikel er generel vejledning og ikke juridisk rådgivning.

Ofte stillede spørgsmål

Er ISO 27001 for dyrt for en lille virksomhed?

Det afhænger af scope og udgangspunkt. Standarden kan skaleres, så en lille virksomhed med et snævert scope og enkle processer ikke behøver det samme apparat som en stor koncern. De største omkostninger er typisk tid og eventuel rådgivning, ikke selve standarden. Bed om et fast tilbud og få afklaret, hvad der er med.

Skal vi have et ISO 27001-certifikat for at opfylde NIS2 eller GDPR?

Nej. Hverken NIS2 eller GDPR kræver certificering efter ISO 27001. Begge stiller krav om passende sikkerhedsforanstaltninger og dokumentation. Et ISMS kan hjælpe med at vise, at I har styr på det, men det er ikke en garanti for compliance. Kunder kan dog selv kræve certifikatet.

Dækker ISO 27001 også Cyber Resilience Act?

Kun delvist. ISO 27001 handler om organisationens informationssikkerhed, mens CRA stiller krav til selve produktet med digitale elementer, bl.a. sikker udvikling, sårbarhedshåndtering, sikkerhedsopdateringer og teknisk dokumentation. ISMS’et giver en god ramme for roller og processer, men CRA-kravene skal kortlægges særskilt.

Hvor starter vi, hvis vi ikke har nogen formel sikkerhedsstyring i dag?

Start med at samle alle krav fra kunder, forsikring og lovgivning i ét ark, udpeg en ansvarlig og lav en simpel risikovurdering af det afgrænsede område, I vil starte med. Det giver et realistisk billede af, hvad der mangler, og hvor meget arbejde og budget der skal til.