En forundersøgelse før ISO 27001 skal svare på tre spørgsmål: hvad certificeringen skal omfatte, hvilke foranstaltninger anvendelseserklæringen vil indeholde, og hvor langt der er til, at ledelsessystemet kan klare et certificeringsorgans besøg. Selve certifikatet kan kun udstedes af et certificeringsorgan, og en forundersøgelse er derfor en vurdering af afstanden, ikke et forstadie til et certifikat.
Ingen kilde, vi har læst, beskriver en forundersøgelse som en bestemt ydelse med et fastlagt indhold. Det følgende er praksis, bygget på det, standardens katalogsider og Digitaliseringsstyrelsens vejledning fra 2016 siger om ledelsessystemets dele.
Hvem der certificerer
Herhjemme er det DANAK, der godkender de organer, som må certificere et ledelsessystem for informationssikkerhed. Ifølge DANAK sker akkrediteringen efter DS/EN ISO/IEC 17021-1:2015 og DS/ISO/IEC 27006-1:2024. Det er certificeringsorganer, som DANAK akkrediterer, der udsteder certifikaterne. Nielco IT certificerer ikke og udsteder ingen certifikater. En uvildig forundersøgelse står uden for certificeringen og kan derfor se på afstanden uden at have en interesse i resultatet.
Første spørgsmål: omfanget
Omfanget afgør, hvilke dele af virksomheden certificeringen skal dække. I en koncern er det ofte det sværeste spørgsmål. Skal det være hele koncernen, ét selskab, en bestemt ydelse eller et datacenter?
Det følgende kan afklares i forundersøgelsen:
- Formålet. Hvorfor ønskes certificeringen? Kunders krav, egen styring eller begge dele? Formålet afgør, hvor bredt omfanget skal være.
- Grænserne. Hvilke selskaber, lokationer, systemer og processer hører med, og hvor går snitfladen til det, der holdes ude?
- Afhængighederne. Hvilke fælles tjenester, leverandører og koncernfunktioner bruger omfanget, selv om de ligger uden for det?
Et for smalt omfang giver et certifikat, der ikke svarer på det, kunderne eller ledelsen spørger om. Et for bredt omfang kan gøre vejen til certificering lang.
Andet spørgsmål: anvendelseserklæringen
Dansk Standard beskriver, at organisationen i anvendelseserklæringen, ofte kaldt SoA, vælger fra en liste, hvilke foranstaltninger der gennemføres. ISO/IEC 27002 fra februar 2022 indeholder ifølge Dansk Standard 93 kontroller i fire temaer.
En forundersøgelse kan lave et første udkast til anvendelseserklæringen: hvilke foranstaltninger der er relevante for omfanget, hvilke der allerede er gennemført, og hvilke der mangler. Udkastet viser, hvor arbejdet ligger. Det er ikke den endelige erklæring, som skal bygge på virksomhedens egen risikovurdering.
Tredje spørgsmål: afstanden
Afstanden til certificering handler om hele ledelsessystemet, også ud over foranstaltningerne. Digitaliseringsstyrelsens vejledning fra 2016, skrevet til 2013-udgaven af standarden, nævner tre ting, der skal køre i et ledelsessystem: målingen, den interne audit og ledelsens egen gennemgang. Input til ledelsens gennemgang er blandt andet målinger, auditresultater, en opdateret gap-analyse og risikobilledet.
- Risikovurdering · Spørgsmål i forundersøgelsen: Er den gennemført for omfanget og dokumenteret? · Typisk afstand (tænkt): (Findes for IT, men ikke for forretningsprocesser)
- Anvendelseserklæring · Spørgsmål i forundersøgelsen: Findes et udkast, der bygger på risikovurderingen? · Typisk afstand (tænkt): (Ikke påbegyndt)
- Måleprogram · Spørgsmål i forundersøgelsen: Er der målepunkter og tærskler? · Typisk afstand (tænkt): (Enkelte nøgletal uden tærskler)
- Intern audit · Spørgsmål i forundersøgelsen: Er der et program, og er det gennemført mindst én gang? · Typisk afstand (tænkt): (Planlagt, ikke gennemført)
- Ledelsens gennemgang · Spørgsmål i forundersøgelsen: Er den holdt med det input, vejledningen nævner? · Typisk afstand (tænkt): (Holdt uden auditresultater)
Afstanden kan opgøres som en liste over det, der mangler, med et skøn over omfanget af arbejdet og rækkefølgen. Den bør sige tydeligt, hvad der skal være gennemført, før et certificeringsorgan inviteres.
Koncernens særlige spørgsmål
I en koncern rejser forundersøgelsen spørgsmål, som et enkelt selskab ikke har. Hvordan forholder et certificeret selskab sig til koncernens fælles politikker? Hvem udfører den interne audit, hvis koncernen har en fælles funktion? Hvordan behandles koncernens fælles tjenester, når de leverer til det certificerede omfang? Svarene påvirker både omfanget og afstanden. Når selskabet er certificeret, er det beskrevet i certificerede enheder i koncernmålingen, hvordan det kan indgå i koncernens score.
Forundersøgelse og modenhedsmåling
En forundersøgelse er beslægtet med en modenhedsmåling, men den har et andet formål. Modenhedsmålingen følger udviklingen over tid efter en valgt målestok. Forundersøgelsen spørger én gang, hvor langt der er til et bestemt mål. Har koncernen allerede en måling efter ISO 27001, kan forundersøgelsen bygge på den. Hvordan standarden bruges som måleramme uden certifikat, står i ISO 27001 som måleramme uden certificering.
Hvem der deltager
En forundersøgelse giver det bedste billede, når både ledelsen og de, der driver de berørte processer, deltager. Ledelsen kan svare på formålet og på risikovillighed. Driften kan vise, hvad der faktisk gøres. Den interne audit eller anden linje kan vise, hvad der er kontrolleret. Mangler en af grupperne, bliver afstanden enten undervurderet eller overvurderet.
Det kan også være en fordel at inddrage de koncernfunktioner, der leverer til omfanget, fx fælles IT-drift eller indkøb. Deres processer bliver en del af det, certificeringsorganet ser på, selv om de ligger uden for det selskab, der certificeres.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ledelsen har afklaret formålet med certificeringen, at nogen har mandat til at foreslå omfanget, og at den interne audit og ledelsens gennemgang kan vises, som de er. Det kræver også, at forundersøgelsen læses som en vurdering af afstanden og ikke som en forhåndsgodkendelse.
Springes forundersøgelsen over, opdager virksomheden afstanden ved certificeringsorganets første besøg. Så kan omfanget vise sig at være forkert, og manglerne kommer frem på et tidspunkt, hvor de er dyrere at rette.
Det skal I lade være med
- At læse forundersøgelsen som et løfte om certificering · kun et certificeringsorgan udsteder certifikatet.
- At vælge omfang efter, hvad der er lettest at certificere · det skal svare på formålet.
- At bygge på kontrolnumre fra 2013-udgaven · standarden er ændret i 2022.
Det skal gennemgangen kunne vise
- ☐ Formålet med certificeringen og det foreslåede omfang med grænser og afhængigheder.
- ☐ Et udkast til anvendelseserklæring med status pr. foranstaltning.
- ☐ Status for risikovurdering, måleprogram, intern audit og ledelsens gennemgang.
- ☐ En liste over mangler med rækkefølge.
Kilder
- Digitaliseringsstyrelsen, Vejledning i evaluering og opfølgning, juni 2016, læst 14. november 2026.
- Dansk Standard, ISO/IEC 27001 Information security management, læst 14. november 2026.
- Dansk Standard, ISO/IEC 27002, læst 14. november 2026.
- DANAK, Certificering af ledelsessystemer, IT-sikkerhed, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv i én sætning, hvorfor I overvejer certificering, og hvilke dele af koncernen den skal dække.
Læs også: Certificerede enheder i koncernmålingen · Den første måling
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
