Skygge-IT er de systemer og tjenester, som forretningsenhederne bruger uden at have meldt dem til den centrale IT. En vurdering finder dem ved at se uden for den officielle systemliste: i indkøb, betalinger, kontrakter, netværkstrafik, brugerkataloger og samtaler med medarbejderne. Hver kilde viser en del, og sammen giver de et billede, som ingen af dem giver alene.
I en koncern er skygge-IT ofte mere udbredt end i en enkelt virksomhed. Enhederne har eget budget, egne behov og ofte en kultur for at løse problemer lokalt. Det er ikke altid et tegn på dårlig vilje. Det er tit et tegn på, at den centrale løsning ikke passede.
Hvorfor det betyder noget for målingen
En modenhedsmåling, der kun ser på de officielle systemer, måler et udsnit af virkeligheden. Systemer uden for listen er ikke med i adgangsstyringen, backup, overvågning eller leverandørstyringen. Ligger der persondata eller forretningskritiske data i dem, er risikoen reel, men usynlig.
For selskaber, der er omfattet af NIS 2, står forvaltning af aktiver på lovens liste over minimumsforanstaltninger (§ 6, stk. 1, nr. 9). Det gælder kun de omfattede selskaber. For alle andre er et fuldstændigt overblik over systemer en forudsætning for, at resten af målingen giver mening.
Hvor systemerne viser sig
Hvilke kilder en vurdering bruger, er praksis. De mest brugte er:
- Indkøb og kreditorer · Hvad den kan vise: Betalinger til softwareleverandører og tjenester · Begrænsning: Betalinger på kreditkort eller udlæg kan mangle
- Kontrakter · Hvad den kan vise: Aftaler indgået af enhederne selv · Begrænsning: Kun dem, der er registreret
- Netværkstrafik · Hvad den kan vise: Forbindelser til eksterne tjenester · Begrænsning: Viser forbindelser, ikke formål
- Brugerkatalog og log ind · Hvad den kan vise: Tjenester, hvor medarbejdere logger ind med koncernens konti · Begrænsning: Tjenester med egne konti ses ikke
- Medarbejderinterview · Hvad den kan vise: Systemer, man bruger i hverdagen · Begrænsning: Afhænger af hvem der spørges
- Lokale servere og udstyr · Hvad den kan vise: Udstyr i enhedens lokaler, der ikke står på listen · Begrænsning: Kræver fysisk besøg
Begrænsningerne er grunden til, at én kilde aldrig er nok. Kreditorerne fanger det, der faktureres. Netværket fanger det, der bruges. Interviewene fanger det, folk husker. Sammenholdt med den officielle liste viser forskellen det, der mangler.
Sådan bruges kilderne i en koncern
Start med de kilder, der kan hentes centralt: kreditorer for hele koncernen, kontraktregistret og brugerkataloget. Det giver en første liste over kandidater pr. enhed. Gå derefter ud i enhederne med listen og spørg. Ofte kender den lokale IT-chef nogle af systemerne, men har ikke anset dem for vigtige nok til at melde.
Spørg medarbejderne om deres arbejdsgange, ikke om deres systemer. “Hvordan deler I filer med kunderne?” giver flere svar end “Hvilke systemer bruger I?”. Det samme gælder “Hvor holder I styr på jeres opgaver?” og “Hvordan laver I tilbud?”.
Hvordan netværkstrafik og brugerkataloger efterprøves teknisk, beskrives under de tekniske kontrolpunkter.
Når intern revision reviderer cybersikkerhed
Efter IIA’s Cybersecurity Topical Requirement skal intern revision under en cyberopgave vurdere, om cybersikkerhed indgår i livscyklusstyringen af alle IT-aktiver, herunder hardware, software og leverandørtjenester (Controls D). Kravet binder den interne audit-funktion, der følger IIA’s standarder, og det vurderer design og implementering. Skygge-IT er per definition aktiver uden for livscyklusstyringen. En intern revision, der følger kravet, kommer derfor til at spørge, hvordan koncernen finder dem.
Hvorfor enhederne ikke melder ind
Det er værd at forstå, hvorfor systemerne ikke er meldt. Ofte er processen for at få et nyt system godkendt langsom eller uklar, og enheden har haft et behov, der ikke kunne vente. Andre gange ved enheden ikke, at en tjeneste på abonnement tæller som et system. Og nogle gange er systemet så gammelt, at ingen længere husker, at det blev indkøbt uden om IT.
Svarene peger på forskellige løsninger. En langsom godkendelse kræver en hurtigere vej for små systemer. Manglende viden kræver en klar definition af, hvad der skal meldes. Gamle systemer kræver en oprydning. Målingen kan spørge til årsagen, når et system bliver fundet, og samle svarene på tværs af enhederne.
Et tænkt fund
I en tænkt koncern viser kreditorlisten, at en salgsafdeling betaler et månedligt abonnement til en tjeneste for elektronisk underskrift. Tjenesten står ikke på systemlisten. Interviewet viser, at den bruges til alle kundekontrakter, at fem medarbejdere deler ét login, og at ingen har tænkt på, hvad der sker med dokumenterne, hvis abonnementet stopper. Fundet er hverken stort eller dramatisk, men det rammer adgangsstyring, leverandørstyring og data på én gang.
Fra fund til handling
Når skygge-IT er fundet, skal det ikke automatisk lukkes. For hvert system bør koncernen afgøre, om det skal optages på den officielle liste med ejer og kontroller, erstattes af en fælles løsning, eller udfases. Afgørelsen afhænger af data, risiko og forretningsbehov.
Rapportér skygge-IT pr. enhed som et mål for, hvor fuldstændig systemlisten er. Det er et nøgletal, der siger noget om styringen. Følg det over tid: falder antallet af nye fund, er processen for at melde systemer ind blevet bedre.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til koncernens kreditorer, kontrakter, brugerkataloger og netværksdata, tid til interview i enhederne og en proces for, hvad der sker med de systemer, der bliver fundet. Det kræver også, at enhederne ikke straffes for at melde systemer ind.
Uden en aktiv søgning bygger målingen på en liste, der er ufuldstændig. De systemer, der ikke er med, er dem med færrest kontroller, og en hændelse i dem kommer bag på alle.
Det skal I lade være med
- At tro, at den officielle systemliste er fuldstændig · den viser kun det, der er meldt.
- At spørge efter systemer i stedet for arbejdsgange · folk husker opgaver bedre end navne.
- At lukke alt fundet uden at se på behovet · skygge-IT peger ofte på en mangel i den fælles løsning.
Det skal gennemgangen kunne vise
- ☐ De kilder, der er brugt til at finde systemer uden for listen.
- ☐ En liste over fundne systemer pr. enhed med data og ejer.
- ☐ En afgørelse for hvert fundet system.
- ☐ Udviklingen i antallet af nye fund over tid.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 9, læst 14. november 2026.
- The Institute of Internal Auditors, Cybersecurity Topical Requirement, februar 2025, Controls D, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk koncernens kreditorliste for det seneste år, og find betalinger til softwaretjenester, som ikke står på systemlisten.
Læs også: Leverandørlandskabet i koncernen · Koncernpolitik og lokal praksis
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
