ISO 27001-tjekliste

Når man søger efter en ISO 27001-tjekliste, vil man som regel have konkrete svar: Hvad skal vi gøre, hvilke dokumenter har vi brug for, og hvor langt er vi fra certificering? En liste kan organisere de spørgsmål. Den kan ikke besvare dem.

En organisation kan ikke gå direkte fra en generisk tjekliste til en implementering, der kan forsvares. Det kræver konkret viden om ISO/IEC 27001:2022, det faktiske ISMS-omfang, informationssikkerhedsrisiciene og de operationelle processer. Denne guide forklarer, hvad en tjekliste kan give, hvor den stopper, og hvilke skabeloner, kurser og værktøjskasser der kan understøtte det næste skridt.

Hvorfor en ISO 27001-tjekliste ikke er nok

De certificerbare krav står i afsnit 4 til 10 i ISO/IEC 27001:2022. Anneks A indeholder 93 referencekontroller fordelt på fire temaer. Det giver ikke en universel opgaveliste. En organisation skal blandt andet forstå og begrunde:

• hvilke forretningsprocesser, informationer, systemer og lokationer der hører til ISMS'et
• hvilke juridiske, lovgivningsmæssige, kontraktlige og forretningsmæssige krav der gælder
• hvordan risici vurderes og håndteres konsekvent
• hvilke kontroller der passer til den faktiske risikoprofil
• hvilken dokumentation der reelt viser, at en kontrol fungerer effektivt

To organisationer kan markere det samme punkt på tjeklisten som gennemført og alligevel have helt forskellige niveauer af parathed. At der findes en politik, siger f.eks. intet om, hvorvidt ejerne forstår den, om processen virker, eller om der produceres pålidelig dokumentation.

Områder, en tjekliste bør dække

1. Definér kontekst og omfang

• Beskriv organisationens formål og relevante interne og eksterne forhold
• Identificér interessenter og deres krav
• Registrér juridiske, lovgivningsmæssige og kontraktlige forpligtelser
• Definér klare grænser for ISMS'et, der kan forsvares
• Kortlæg afhængigheder af leverandører, lokationer, systemer og processer

2. Etablér ledelse og ansvar

• Påvis den øverste ledelses engagement og ansvar
• Godkend og kommunikér en informationssikkerhedspolitik
• Definér roller, beføjelser og ansvarlige ejere
• Stil tilstrækkelige medarbejdere, teknologi og budget til rådighed

3. Vurder og håndter risici

• Definér en konsekvent metode og konsekvente kriterier for risikovurdering
• Tag hensyn til informationsaktiver, trusler, sårbarheder og konsekvenser
• Vurder risici, udpeg ejere, og bevar resultaterne
• Vælg håndteringsmuligheder, og udarbejd en risikohåndteringsplan
• Vedligehold en anvendelseserklæring (Statement of Applicability) med valg, udeladelser og implementeringsstatus
• Indhent accept af restrisikoen fra de relevante risikoejere

4. Organiser mål, kompetencer og dokumentation

• Fastsæt målbare informationssikkerhedsmål, ejere og frister
• Fastlæg kompetencebehov, og bevar dokumentation for uddannelse
• Planlæg awareness og intern kommunikation
• Versionér, godkend, beskyt og bevar dokumenteret information
• Planlæg ændringer i ISMS'et på en kontrolleret måde

5. Implementér og drift kontroller

• Implementér de organisatoriske, personrelaterede, fysiske og teknologiske kontroller, der følger af risikohåndteringen
• Styr operationelle processer og outsourcede tjenester
• Knyt dokumentation direkte til risici, krav og kontroller
• Etablér tilbagevendende kontroltjek, gennemgange og frister
• Før undtagelser og nye risici tilbage til driften

6. Evaluér og forbedr effektiviteten

• Definér måleparametre og evalueringsmetoder
• Overvåg, mål, analysér og evaluér resultaterne
• Planlæg og gennemfør en uafhængig intern audit
• Dokumentér ledelsens evalueringer, deres input og beslutninger
• Håndter afvigelser, analysér årsager, og følg op på korrigerende handlinger
• Bekræft før certificeringen, at dokumentationen og den faktiske praksis stemmer overens

Hvilke dokumenter hører med på tjeklisten?

Standarden kræver dokumenteret information flere steder, men den kræver ikke en separat politik for hver kontrol. Det rette omfang afhænger af organisationens størrelse, kompleksitet, risiko og ISMS'ets grænser. En arbejdsliste vil typisk omfatte:

• ISMS-omfang og informationssikkerhedspolitik
• metode til risikovurdering, risikoregister og risikohåndteringsplan
• anvendelseserklæring (Statement of Applicability)
• informationssikkerhedsmål og måleparametre
• registreringer af kompetencer, uddannelse og awareness
• relevante operationelle processer, politikker og registreringer
• resultater af overvågning og måling
• internt auditprogram og auditrapporter
• referater af ledelsens evalueringer
• register over afvigelser og korrigerende handlinger

En skabelon er kun et udgangspunkt. Det er ikke nok at udskifte firmanavn og logo: Ansvarsområder, processer, systemer og dokumentation skal afspejle, hvordan organisationen faktisk arbejder.

Gratis ISO 27001-ressourcer

Fællesskabet r/ISO27001 på Reddit kan også bidrage med praktisk erfaring. Indlæg i fællesskabet er hverken den officielle standard eller bindende auditrådgivning.

ISO 27001-kurser

Udemy og lignende markedspladser varierer ofte priserne efter konto og kampagne. Kontrollér altid den endelige pris ved betalingen.

Prissammenligning af ISO 27001-værktøjskasser

High Table har ældre demo- og produktsider, der viser andre beløb end den centrale prisside. Denne sammenligning bruger derfor den centrale prisliste, der var tilgængelig på referencedatoen. GRC Solutions viser også forskellige pakker eller licensmodeller på forskellige butikssider; kontrollér det præcise produkt, løbetiden og prisen for fornyelse før køb.

Hvilken løsning passer til hvilket behov?

Ofte stillede spørgsmål

Findes der en officiel gratis ISO 27001-tjekliste?

En gratis liste kan organisere emnerne, men den er hverken den officielle standard eller en fuldstændig implementeringsvejledning. Den gældende standardtekst er fortsat afgørende. At anvende den kræver desuden viden om risikostyring, ISMS-omfanget og de faktiske operationelle processer.

Skal enhver organisation implementere alle 93 kontroller i anneks A?

Nej. ISO/IEC 27001:2022 kræver et risikobaseret valg. Anvendelseserklæringen registrerer, hvilke kontroller der er nødvendige, deres status, og hvorfor referencekontroller er udeladt.

Er en værktøjskasse nok til at opnå certificering?

Nej. En værktøjskasse kan spare tid, men certificeringen vurderer et effektivt ISMS i drift. Auditorer undersøger også ansvar, risikohåndtering, operationel dokumentation, interne audits, ledelsens evalueringer og løbende forbedring.

Hvad er prisernes referencedato i denne guide?

Alle priser er kontrolleret den 30. august 2026. Udbyderens aktuelle pris ved betalingen er afgørende.

Konklusion

En ISO 27001-tjekliste kan vise, hvilke emner der kræver opmærksomhed før certificering. Den kan ikke automatisk forklare, hvordan emnerne skal implementeres i en bestemt organisation, eller om resultatet er effektivt. Det kræver kendskab til standarden, en solid risikometode, forståelse af den faktiske drift og pålidelig dokumentation.

Skabeloner og værktøjskasser kan fremskynde arbejdet, når teamet allerede forstår det resultat, det skal nå. Uden den viden skaber flere dokumenter primært mere materiale – ikke nødvendigvis et bedre ISMS.

Uanset hvilket materiale I vælger, er det afgørende spørgsmål det samme: Stemmer dokumenterede regler, faktisk praksis og pålidelig dokumentation overens? At vedligeholde den sammenhæng løbende forbereder til mere end en audit; det skaber et varigt ISMS. Vores guide til at strukturere auditparathed forklarer, hvordan den understøttende dokumentation organiseres.