Mangler I en kort og konkret liste at holde driftens grundopsætning op imod, er den britiske ordning Cyber Essentials et brugbart sammenligningsgrundlag. Kravene er samlet i fem tekniske kontroller med præcise formuleringer, blandt andet at opdateringer, der retter kritiske eller højrisiko-sårbarheder, skal være installeret inden for 14 dage.
Ordningen er britisk og certificeres af britiske certificeringsorganer. Her bruges den kun som sammenligning, ikke som en ordning, nogen bliver certificeret efter.
Ordningen og versionen
Kravene står i dokumentet “Cyber Essentials: Requirements for IT Infrastructure”, som det britiske National Cyber Security Centre udgiver. Den udgave, der er læst her, er version 3.3 fra april 2026. Nyt i versionen er blandt andet en definition af cloudtjenester og en udtrykkelig regel om, at cloudtjenester altid er med i omfanget. Versionen lægger også større vægt på backup.
Den sidste ændring er nyttig for en dansk drift. Mange egenkontroller dækker de lokale maskiner og glemmer lejeren i skyen. Ordningen tillader det ikke.
De fem kontroller
Kravene er gengivet med egne ord fra version 3.3. Den præcise ordlyd står i dokumentet.
- Firewalls · Standardadgangskoder skiftes; administrationsfladen må ikke kunne nås fra internettet uden et dokumenteret forretningsbehov og enten flerfaktor eller en liste over tilladte adresser; uautentificerede indgående forbindelser blokeres som udgangspunkt; indgående regler godkendes og dokumenteres af en bemyndiget person med forretningsbehovet; unødige regler fjernes eller slås fra
- Sikker konfiguration · Unødige brugerkonti fjernes eller slås fra; standardadgangskoder skiftes; unødig software fjernes eller slås fra; automatisk afvikling af filer uden brugerens godkendelse slås fra; brugere godkendes, før de får adgang til data
- Opdateringsstyring · Software er licenseret og under support og fjernes, når support ophører; automatiske opdateringer slås til, hvor det er muligt; opdateringer installeres inden for 14 dage, når de retter kritiske eller højrisiko-sårbarheder
- Brugeradgang · Proces for oprettelse og godkendelse af konti; konti fjernes eller slås fra, når de ikke længere bruges; flerfaktor, hvor det findes, og altid ved login til cloudtjenester; særskilte konti til administration; særlige rettigheder fjernes, når de ikke længere er nødvendige
- Beskyttelse mod skadelig kode · En beskyttelsesmekanisme er aktiv på alle enheder i omfanget, enten antimalware, der er opdateret og forhindrer afvikling og forbindelser til skadelige sider, eller en positivliste over godkendte programmer begrænset af kodesignering
Fristen på 14 dage
Opdateringskravet er det mest præcise i ordningen. En opdatering skal installeres inden for 14 dage efter udgivelsen, når en af tre betingelser er opfyldt:
- Producenten kalder sårbarhederne kritiske eller højrisiko.
- Sårbarhederne har en CVSS v3-basisscore på 7 eller derover.
- Producenten oplyser ikke, hvor alvorlige sårbarhederne er.
Den tredje betingelse er værd at lægge mærke til. Mangler oplysningen, gælder fristen. Samler producenten flere rettelser i én opdatering, og er bare én af dem kritisk eller højrisiko, gælder fristen hele opdateringen. Ordningen anbefaler, at alle opdateringer installeres inden for 14 dage, men det er ikke et krav.
Sådan bruges kontrollerne som sammenligning
Det følgende er praksis. Ordningen har sine egne regler for selvevaluering og certificering, og dem gengiver vi ikke.
- Lav en tabel med de fem kontroller som rækker og kravene under hver.
- Skriv ud for hvert krav, hvilket udtræk der viser status i jeres miljø: firewallens regelsæt med kommentarer, listen over konti, opdateringsstatus med datoer, metoder til flerfaktor pr. konto, dækningen af beskyttelse mod skadelig kode.
- Markér hvert krav som opfyldt, delvist opfyldt eller ikke opfyldt.
- For opdateringer: mål den faktiske tid fra udgivelse til installation på de maskiner, I har udvalgt, ikke den tid, styringsværktøjet er sat til.
Sammenligningen er især brugbar, fordi kravene er formuleret, så de kan efterprøves. “Indgående regler er godkendt og dokumenteret med forretningsbehov” kan kontrolleres ved at læse regelsættet og se, om hver regel har en kommentar og en godkender. På samme måde kan kravet om særskilte administratorkonti efterprøves med et udtræk af administratorgrupperne, hvor hvert medlem holdes op mod listen over personlige konti. Og kravet om, at konti fjernes, når de ikke bruges, kan efterprøves ved at sammenligne seneste login med en dato, I selv vælger. Ordningen fastsætter ikke selv, hvor lang tids inaktivitet der er for meget. Den overlader det til en periode, organisationen definerer.
Hvor sammenligningen ikke rækker
Cyber Essentials er en grundopsætning. Ingen af de fem kontroller handler om logning eller overvågning. En virksomhed, der opfylder alle fem, kan derfor stadig mangle det, der skal til for at opdage en hændelse, og den skal selv vurdere, om backup og gendannelse er på plads.
Ordningen er heller ikke dansk ret, og dens definitioner, fx af hvad der regnes som cloudtjenester, er britiske. Den er et sammenligningsgrundlag ved siden af andre målestokke, fx statens tekniske minimumskrav, og ingen af dem er bedre end de andre i almindelighed.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften trækker fem til ti udtræk og læser dem op mod kravene. Opdateringskravet kræver, at installationsdatoer kan hentes pr. maskine.
Uden et konkret sammenligningsgrundlag ved I ikke, om grundopsætningen holder. Det er ofte i grundopsætningen, at de enkle huller findes: en administrationsflade, der kan nås udefra, en konto, som ingen fik lukket.
Det skal I lade være med
- At læse 14 dage som fristen for alle opdateringer · kravet gælder kritiske og højrisiko-rettelser.
- At lade cloudtjenesterne ude af sammenligningen · version 3.3 tillader det ikke.
- At kalde en sammenligning for en certificering · certificering sker efter ordningens egne regler.
Det skal gennemgangen kunne vise
- ☐ Status pr. krav i de fem kontroller med udtræk som bevis.
- ☐ Den faktiske tid fra udgivelse til installation for kritiske opdateringer på et udvalg af maskiner.
- ☐ Dokumenteret forretningsbehov og godkender for hver indgående firewallregel.
- ☐ Flerfaktor ved login til alle cloudtjenester.
Kilder
- NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, april 2026, “What’s new”, afsnit A og kontrol 1 til 5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Mål tiden fra udgivelse til installation for den seneste kritiske opdatering på fem tilfældigt valgte maskiner.
Læs også: De statslige tekniske minimumskrav som tjekliste · Firewallens regelsæt
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
