D-mærket deler virksomhederne i fire grupper, og de største hører typisk til gruppe III eller IV. Mærket har otte kriterier, tildeles for et år ad gangen og følges op med årlige tilsyn, og det kan bruges af en stor virksomhed som en dansk målestok for sig selv.
Artiklen ser på mærket fra den store virksomhed, der vil måle sin egen sikkerhed og dataansvar. Den ser ikke på mærket som dokumentation over for kunder.
Et forbehold om kilderne
Beskrivelsen bygger på D-mærkets egne sider, læst den 14. november 2026. Siderne er ikke daterede. Hvem mærkets auditorer er, og hvilken uddannelse de har, står ikke. Mærket er en mærkningsordning med selvevaluering og tilsyn. Vi omtaler det ikke som en certificering.
Grupperne
D-mærket har fire virksomhedsgrupper. De to store grupper er beskrevet sådan:
- III · Regionale forsynings- og infrastrukturvirksomheder, større producenter, landsdækkende foreninger samt virksomheder løftet fra gruppe I og II, fordi de leverer software eller IT-ydelser
- IV · Landsdækkende virksomheder som store detailkæder, store finansielle organisationer, børsnoterede virksomheder og store regionale aktører
Grupperne har ingen størrelsesgrænser. Virksomheden fastsætter sin gruppe i selvevalueringen. Det betyder, at placeringen er en vurdering af virksomhedens rolle og påvirkning og ikke af antal ansatte eller omsætning.
De otte kriterier
Mærket opstiller otte kriterier. De første fem handler om ledelsens styring og forankring, om medarbejdernes opmærksomhed og adfærd, om den tekniske sikkerhed, om de krav, virksomheden stiller til sine leverandører, også om ansvarlig brug af data, og om åbenhed og kontrol med data. De sidste tre handler om privatliv og sikkerhed, der er bygget ind fra starten, om algoritmer og AI, man kan stole på, og om dataetik.
De fem første gælder for alle. Om de tre sidste gælder, kommer an på, hvad virksomheden laver. Det sidste kriterie, dataetik, gælder ifølge siden generelt for grupperne II til IV.
For en stor virksomhed er bredden det særlige. Mærket dækker både sikkerhed og ansvarlig brug af data, herunder algoritmer og dataetik. Det er emner, de fleste sikkerhedsrammer ikke måler.
Selvevaluering og tilsyn
Processen begynder med en selvevaluering. Derefter kommer et tilsyn ved D-mærkets auditorer. Mærket tildeles for et år ad gangen, og ved de efterfølgende årlige tilsyn følges der op på udvalgte krav.
Det giver en indbygget rytme. Hvert år skal virksomheden vise, at den stadig lever op til kravene, og hvert år ser en part udefra på et udvalg af dem. For den, der vil måle sig selv over tid, er det en fast kadence, som ikke afhænger af intern planlægning.
Mærket som målestok i en koncern
En stor virksomhed kan bruge D-mærket på to måder. Den kan søge mærket. Eller den kan bruge kriterierne som målestok uden at søge det. Det følgende er praksis.
Som målestok uden mærke. Kriterierne kan bruges som en ekstra liste ved siden af koncernens sikkerhedsramme, især for de emner, rammen ikke dækker: transparens, algoritmer og dataetik. Så får bestyrelsen et billede af dataansvaret, som en ren sikkerhedsmåling ikke giver.
Med mærke. Søger virksomheden mærket, giver det årlige tilsyn en ekstern kontrol af udvalgte krav. Det kan indgå i koncernens måleserie som en uafhængig efterprøvning, men kun for de krav, tilsynet faktisk har set.
I en koncern med flere selskaber. Selskaberne kan høre til forskellige grupper. Et børsnoteret moderselskab kan være i gruppe IV, mens et softwareselskab i koncernen er løftet til gruppe III. Koncernen bør vide, hvilken gruppe hvert selskab ville placere sig i, så målestokken bruges ens.
Hvad mærket ikke måler
D-mærket er en ordning med kriterier, ikke en modenhedsskala. Den siger, om kravene er opfyldt, ikke hvor modent et område er. Vil koncernen følge udviklingen i trin, skal den bruge en anden skala ved siden af. Mærket har heller ingen fast kobling til de internationale rammer i de kilder, vi har læst.
Brugen af mærket i forholdet mellem kunde og leverandør gennemgås under kontrollen af leverandører. Mærkets NIS2-modul er beskrevet i D-mærkets NIS2-modul som målestok.
Mærket og den årlige måleserie
Koncerner, der allerede måler sig selv hvert år, kan med fordel lægge D-mærkets selvevaluering i samme periode som den interne måling. Så bruger selskaberne de samme dokumenter til begge, og resultaterne kan sammenholdes. Det følgende er en mulig fremgangsmåde. Koncernen laver en kobling mellem mærkets kriterier og sin egen ramme, bruger det samme bevis, hvor kriterier og ramme overlapper, og viser mærkets særlige emner, som transparens og dataetik, i et tillæg til den årlige rapport.
Kriterierne kan også bruges til at stille spørgsmål til bestyrelsen selv. Det første kriterie handler om styring og forankring i ledelsen. Det er et naturligt sted at begynde, når bestyrelsen vil vide, om dens egen opfølgning er god nok.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at virksomheden placerer sig selv og sine selskaber i den rigtige gruppe, og at kriterierne læses i den aktuelle udgave på mærkets side. Bruges mærket som målestok uden at søge det, kræver det også, at koncernen selv står for den efterprøvning, tilsynet ellers ville give.
Bruges kun en sikkerhedsramme, kan bestyrelsen gå glip af de spørgsmål om dataansvar, algoritmer og dataetik, som en stor virksomhed kan blive spurgt om af kunder, ansatte og investorer. D-mærkets kriterier er en dansk liste, der dækker dem.
Det skal I lade være med
- At kalde mærket en certificering · det er en mærkningsordning med selvevaluering og tilsyn.
- At vælge gruppe efter, hvad der er lettest · placeringen skal afspejle virksomhedens rolle.
- At læse opfyldte kriterier som et modenhedsniveau · mærket måler opfyldelse, ikke trin.
Det skal gennemgangen kunne vise
- ☐ Den gruppe, virksomheden og hvert selskab hører til, med begrundelse.
- ☐ En vurdering mod de kriterier, der gælder for gruppen og aktiviteterne.
- ☐ Hvilke krav et eventuelt tilsyn har set, og hvornår.
- ☐ En kobling mellem mærkets kriterier og koncernens sikkerhedsramme.
Kilder
- D-mærket, forside, læst 14. november 2026.
- D-mærket, Kriterier, læst 14. november 2026.
- D-mærket, Virksomhedsgrupper, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vurder, hvilken D-mærke-gruppe jeres virksomhed og jeres største selskaber ville placere sig i.
Læs også: Sikkerhedskultur som modenhedsområde · Hvor ofte skal modenheden måles?
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
