ISO 27001

D17 version 6 tydeliggør, at compliance-ansvaret følger pligtsubjektet og gør standardskærpelser til kundens ændring. Opdaterede processer, change-mekanismer og standardbilag bliver centrale for leverandører, der vil reducere risiko, sikre prissætning og styrke governance.

Fra i dag gælder NIS2 i 18 sektorer. Det kan løfte cybersikkerheden, men skaber også risiko for uens håndhævelse og stigende byrder. Jurister bør sikre harmoniserede kontraktkrav, effektiv risikostyring og klar rapportering – og hjælpe SMV’er med D-mærket og flere IT-kompetencer.

Datatilsynet tilføjer to konkrete sikkerhedsforanstaltninger for at bremse hackingrelaterede brud: styring og vedligehold af software samt netværkssegmentering. IoT-enheder som overvågningskameraer udpeges som risikopunkt. Virksomheder bør nu segmentere, patche og dokumentere kontroller.

To nye NIS2-vejledninger giver virksomheder og ledelser et konkret greb om, hvem der er omfattet, og hvordan kravene kan efterleves. Med ikrafttræden 1. juli 2025 opfordrer Dansk Erhverv til hurtig forberedelse. Det kan styrke Danmarks cybersikkerhed og gøre navigationen i kravene lettere. Flere vejledninger er på vej.

Datatilsynet opdaterer kataloget over foranstaltninger med to tiltag om sikker transmission. De afløser dele af vejledningen om e-mail og SMS, skærper kravet om risikobaseret vurdering og præciserer ansvarsgrænser samt behovet for valideret afsender, modtager og indhold.

Danmark gennemfører NIS2 med sektorvise tilsynsmyndigheder og detaljerede krav i kommende bekendtgørelser. Ikrafttræden udskydes til 1. marts 2025, men forpligtelserne består. Virksomheder i kritiske sektorer bør nu styrke risikostyring, ledelsesforankring og hændelsesrapportering.

Den risikobaserede tilgang i AI-forordningen kræver, at krav til design, tilsyn og dokumentation tilpasses systemets faktiske risici. Få overblik over definitionen af risiko, variationen i pligter, typiske faldgruber og hvordan organisationer kan styrke governance og efterprøvelige beslutninger.

Datatilsynet indstiller Capio til mindst 1,5 mio. kr. i bøde for manglende tilsyn med databehandlere. Sagen skærper fokus på dataansvarliges løbende kontrol, sikkerhedsforanstaltninger og dokumentation, særligt ved behandling af sundhedsoplysninger.

Datatilsynet indstiller Netcompany til en rekordbøde på 15 mio. kr. efter alvorlige sikkerhedsfejl i mit.dk gav uautoriseret adgang til digital post. Myndigheden kritiserer utilstrækkelig behandlingssikkerhed og manglende DPIA, og markerer et skærpet håndhævelsesniveau.

Datatilsynet udgiver ny vejledning om rettighedsstyring for at styrke adgangskontrol til it-systemer og lokaler. Publikationen fremhæver mindst privilegium, stærk autentifikation, kontrol af administratorrettigheder og korrekt håndtering af RPA-konti, med henvisning til kataloget over foranstaltninger.

Datatilsynet lancerer et katalog over sikkerhedsforanstaltninger, der omsætter GDPR’s krav til konkrete tekniske og organisatoriske kontroller. Fokus er foreløbigt rettigheds- og adgangsstyring med eksempler, praksishenvisninger og referencer til EDPB og ISO-standarder.

Datatilsynet kritiserer et universitet for utilstrækkelig adgangskontrol i et IT-system, der i en ukendt periode eksponerede medarbejderoplysninger. Afgørelsen fremhæver krav om ændringsstyring, efterfølgende test og løbende kontrol af brugeradgange efter GDPR art. 32.