ISO 27001-certificering: Er organisationen klar?

Du får et klart billede af, hvad en ISO 27001-certificering faktisk dokumenterer.

Du kan vurdere, om jeres organisation er moden nok til et certificeringsprojekt.

Du får fem konkrete tegn på organisatorisk modenhed og en praktisk vej fra den indledende vurdering til beslutningen om certificering.

Cybersikkerhed bliver i stigende grad betragtet som en forretningskritisk disciplin. Kunder, samarbejdspartnere og myndigheder forventer ikke alene, at virksomheden har implementeret tekniske sikkerhedsforanstaltninger som antivirus og backup. De efterspørger også dokumentation for, hvordan risici bliver håndteret, hvem der har ansvaret, hvordan sikkerhedsforanstaltninger bliver evalueret, og hvordan ledelsen følger op. Derfor overvejer flere danske virksomheder at blive ISO 27001-certificeret.

En ISO 27001-certificering kan styrke tilliden til virksomheden og gøre sikkerhedsarbejdet lettere at dokumentere over for kunder og samarbejdspartnere. Certificeringen kræver imidlertid et velfungerende ledelsessystem for informationssikkerhed, et ISMS, hvor risici, ansvar, sikkerhedsforanstaltninger, evaluering og løbende forbedringer hænger sammen. Det centrale spørgsmål er derfor ikke alene, om virksomheden ønsker at opnå certificeringen, men om organisationen er klar til at etablere, vedligeholde og løbende forbedre ledelsessystemet.

Hvad er ISO 27001? Læs mere her.

Den 13. juli 2026 offentliggjorde ENISA en ny modenhedsmodel for cyberrobusthed i små og mellemstore virksomheder. Modellen er udviklet med udgangspunkt i Cyber Resilience Act og henvender sig primært til virksomheder, der fremstiller eller markedsfører produkter med digitale elementer. Den kan også anvendes af blandt andre integratorer og tjenesteudbydere, der indgår i produkternes livscyklus.

Selvom modellen ikke er udviklet til ISO 27001, er den grundlæggende tilgang relevant: Organisationen bør kende sit udgangspunkt, identificere væsentlige mangler og prioritere forbedringer, før den beslutter, hvordan arbejdet skal dokumenteres eller certificeres.

Denne tilgang er også relevant for danske virksomheder. Styrelsen for Samfundssikkerheds analyse af den digitale sikkerhed i danske SMV’er viser, at 40 procent ikke har et digitalt sikkerhedsniveau, der matcher deres risikoprofil. Samtidig kan 60 procent slet ikke eller kun i begrænset omfang udføre deres kerneopgaver uden adgang til centrale interne it-systemer. For mange virksomheder bør første skridt derfor være en realistisk vurdering af sikkerhedsniveauet, før tidspunktet for en certificeringsaudit fastlægges.

Hvad dokumenterer en ISO 27001-certificering?

ISO 27001 beskriver kravene til et ledelsessystem for informationssikkerhed. Det betyder, at virksomheden skal arbejde systematisk med sin kontekst, sine informationsaktiver, risikovurdering, mål, roller, kompetencer, leverandører, hændelser og løbende forbedringer. Certificeringen udføres af en uafhængig part og viser, at ledelsessystemet inden for det valgte omfang er vurderet op mod standardens krav.

Læs mere om hvad en ISO 27001-certificering er.

Omfanget er afgørende. Et certifikat kan dække hele virksomheden, men det kan også være afgrænset til bestemte tjenester, lokationer eller processer. En snæver afgrænsning er ikke nødvendigvis forkert, men kunder og ledelse skal kunne se præcist, hvad der er omfattet. Ellers kan certifikatet skabe større forventninger, end det kan bære.

Centralt står risikovurderingen og virksomhedens Statement of Applicability, SoA. Her dokumenteres det blandt andet, hvilke sikkerhedsforanstaltninger der er nødvendige, hvordan de er implementeret, og hvorfor eventuelle foranstaltninger fra standardens Annex A er fravalgt. ISO 27002 uddyber sikkerhedsforanstaltningerne og giver vejledning i, hvordan de kan implementeres.

Dokumentation er dermed en central del af ledelsessystemet, men behovet afhænger ifølge Sikkerdigitals vejledning om ISO 27001-dokumentation blandt andet af organisationens størrelse, aktiviteter, kompleksitet og modenhed. Dokumentationen skal understøtte styringen og gøre det muligt at følge op på, om sikkerhedsarbejdet fungerer.

Certificering er ikke det samme som at være beskyttet mod angreb

En ISO 27001-certificering er et stærkt signal om systematisk styring, men den garanterer ikke, at virksomheden undgår phishing, ransomware, leverandørsvigt eller menneskelige fejl. Standarden understøtter dokumenterede og risikobaserede beslutninger samt løbende forbedringer. Den reelle effekt afhænger imidlertid af, om sikkerhedsforanstaltningerne fungerer i praksis, og om organisationen reagerer, når trusselsbilledet, teknologien eller forretningen ændrer sig.

Certificeringsprojektet må derfor ikke reduceres til en dokumentationsøvelse. Politikker, der ikke anvendes, og sikkerhedsforanstaltninger, der ikke bliver evalueret, giver kun begrænset beskyttelse. Et modent ISMS forbinder ledelsens beslutninger med den daglige drift, herunder onboarding og fratrædelser, ændringer i cloudmiljøet, leverandørkrav, patching, backup, hændelseshåndtering og beredskabsøvelser.

Fem tegn på, at organisationen er klar til et certificeringsprojekt

Ledelsen ejer beslutningen. Der er et klart formål, et godkendt omfang og ressourcer til både implementering og efterfølgende drift.

Risici kan prioriteres. I har overblik over kritiske data, systemer, processer og leverandører og kan forklare, hvilke risici der accepteres eller behandles.

Ansvarsfordelingen fungerer i praksis. Roller for sikkerhed, it, jura, HR, indkøb og forretning er tydelige, også når en hændelse kræver hurtige beslutninger.

Implementeringen kan bevises. I kan fremvise andet end politikker, eksempelvis adgangsreviews, testresultater, øvelser, målinger, leverandøropfølgning og håndtering af afvigelser.

Der følges systematisk op på forbedringer. Ledelsen modtager regelmæssig rapportering, og identificerede mangler bliver prioriteret, finansieret og fulgt til dørs.

Sikkerdigital fremhæver tilsvarende, at informationssikkerhed er et ledelsesansvar, og at ledelsen blandt andet skal fastlægge sikkerhedsniveauet, acceptere risici, fordele ansvar og følge op på rapporteringen.

Start med en afgrænset modenhedsvurdering. Brug ENISAs model eller Sikkerdigitals risikovurderingsværktøj til at få et fælles billede af mennesker, processer og teknologi. Sammenhold resultatet med kundekrav, lovgivning og virksomhedens reelle risici. Herefter kan ledelsen beslutte, om målet er certificering nu, et trinvist ISMS eller et mere begrænset forbedringsprogram.

Hvis certificering er målet, bør omfanget defineres tidligt og ærligt. Lav derefter en gap-analyse mod ISO 27001:2022, prioriter de væsentligste mangler og etabler en plan for intern audit og ledelsesgennemgang. Inddrag de funktioner, der skal leve med systemet; informationssikkerhed kan ikke drives som et isoleret it-projekt.

Det bedste resultat er ikke flest dokumenter, men en styringsmodel, der hjælper virksomheden med at vælge rigtigt under pres. Når risici, kontroller og ansvar allerede fungerer i hverdagen, bliver en ISO 27001-certificering et troværdigt bevis på et levende sikkerhedsarbejde i stedet for projektets eneste mål. Læs mere om Nesp.ONEs forløb til ISO 27001-certificering eller kontakt os for en uforpligtende samtale.