Behandler jeres systemer personoplysninger, bliver driften før eller siden spurgt, hvilke tekniske foranstaltninger der beskytter dem. Datatilsynets katalog over foranstaltninger giver et fælles sprog for svaret: hver foranstaltning er beskrevet i fire faste punkter, og det tredje og fjerde punkt hjælper med at afgøre, hvornår den er nødvendig, og hvor der står mere.
Kataloget er ikke en tjekliste med tal. Det er en samling af foranstaltninger, der kan overvejes, og driftens opgave er at kunne vise, hvilke af dem der er gennemført, og hvor.
Hvad kataloget er
Datatilsynet beskriver kataloget som en samling af tekniske og organisatoriske foranstaltninger, der kan overvejes efter databeskyttelsesforordningens artikel 5, 25 og 32. Kataloget ligger på tilsynets sider om behandlingssikkerhed.
Ifølge Datatilsynets oversigtsside er kataloget hverken udtømmende eller absolut. Det betyder for driften, at en foranstaltning, der ikke står i kataloget, godt kan være den rette, og at en foranstaltning i kataloget ikke nødvendigvis passer til jeres behandling.
Oversigtssiden har ingen dato. Listen over de enkelte foranstaltninger indlæses dynamisk på siden og kunne ikke læses, da denne artikel blev skrevet. Derfor gengiver vi ingen enkelte foranstaltninger her. Læs dem selv på Datatilsynets side, før I bruger dem som målestok.
De fire punkter i hver foranstaltning
Hver foranstaltning i kataloget har fire punkter:
- Hvilke risici adresseres? · Hvad det svarer på: Hvad foranstaltningen beskytter imod · Hvad driften kan bruge det til: Koble foranstaltningen til jeres egen risikovurdering
- Hvilke tiltag kan overvejes? · Hvad det svarer på: De konkrete tiltag, der kan indgå · Hvad driften kan bruge det til: Finde de indstillinger og udtræk, der viser tiltaget
- Hvornår er foranstaltningen nødvendig? · Hvad det svarer på: De forhold, der gør den påkrævet · Hvad driften kan bruge det til: Afgøre, om et fravalg kan begrundes
- Links til relevante afgørelser og vejledninger · Hvad det svarer på: Hvor der står mere · Hvad driften kan bruge det til: Læse, hvordan tilsynet har vurderet lignende sager
Det andet punkt er det, der kan omsættes til teknik. Det tredje er det, der afgør, om et manglende tiltag er et fund eller et begrundet valg.
Fra tiltag til bevis
Kataloget siger, hvad der kan overvejes. Det siger ikke, hvordan det vises. Den del er praksis, og det er her, driften har mest at bidrage med.
En fremgangsmåde kan være:
- Vælg de foranstaltninger i kataloget, der er relevante for jeres behandlinger. Brug punktet om, hvornår foranstaltningen er nødvendig, til at sortere.
- Skriv for hver valgt foranstaltning, hvilke tiltag fra punktet “hvilke tiltag kan overvejes” I har gennemført.
- Find for hvert tiltag det udtræk, den indstilling eller den log, der viser det. Det skal være noget fra systemerne, ikke kun en beskrivelse.
- Skriv for de tiltag, I ikke har gennemført, hvorfor. Brug kataloget og jeres risikovurdering som grundlag.
Skridt 3 er det afgørende. Ifølge afsnit 3.1 i NIST SP 800-115, som er fra 2008, kan man ved at læse dokumenter konstatere, at der findes retningslinjer. Man kan ikke se, om de er ført ud i livet. En politik for adgangsstyring viser hensigten. Et udtræk af grupper og rettigheder viser, hvordan det faktisk ser ud.
Et tænkt eksempel på opstilling
Eksemplet er tænkt og bygger ikke på en bestemt foranstaltning i kataloget. Det viser den form, en opstilling kan have:
- Foranstaltning · (Navnet, som det står i kataloget)
- Behandlinger, den gælder · (Løn, kundeservice)
- Tiltag gennemført · (De tiltag fra kataloget, der er indført)
- Bevis · (Udtræk af rettigheder i lønsystemet, dato)
- Tiltag fravalgt · (Det tiltag, der ikke er indført, og begrundelsen)
- Ejer · (Den, der vedligeholder tiltaget)
Opstillingen gør det muligt at svare både den databeskyttelsesansvarlige og en teknisk gennemgang med det samme materiale.
Brug gerne samme opstilling for alle foranstaltninger, også dem, der er organisatoriske. Så bliver det tydeligt, hvilke der kan belægges med data fra systemerne, og hvilke der hviler på procedurer og aftaler. De første er dem, en teknisk gennemgang kan efterprøve. De sidste kræver en anden slags kontrol, og det bør stå i rapporten, at de ikke er set på.
Grænsen mellem jura og teknik
Kataloget er et værktøj fra en tilsynsmyndighed, og spørgsmålet om, hvad databeskyttelsesforordningen kræver i en konkret behandling, er en juridisk vurdering. Den foretager driften ikke alene. Driftens del er den tekniske: at vise, hvad der er sat op, og at det virker.
Det er også derfor, en teknisk gennemgang kan bruge kataloget som målestok uden at vurdere lovligheden af behandlingen. Den kan kontrollere, at de tiltag, virksomheden siger, den har indført, findes i opsætningen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften og den, der har ansvaret for databeskyttelse, sammen vælger de relevante foranstaltninger, og at driften finder beviset for hvert tiltag. Første gang kræver det, at nogen læser de enkelte foranstaltninger i kataloget grundigt.
Uden koblingen mellem katalog og systemer har I en beskrivelse af foranstaltninger og ingen måde at vise, at de findes. Spørger nogen efter en hændelse, er det beviset fra systemerne, der tæller.
Det skal I lade være med
- At svare med en politik, hvor kataloget peger på et tiltag · vis tiltaget i systemet.
- At læse kataloget som en fuldstændig liste · Datatilsynet skriver selv, at det ikke er udtømmende.
- At lade driften alene afgøre, hvad forordningen kræver · det er en juridisk vurdering.
Det skal gennemgangen kunne vise
- ☐ En liste over de valgte foranstaltninger med de behandlinger, de gælder.
- ☐ Et udtræk eller en indstilling som bevis for hvert gennemført tiltag.
- ☐ Begrundelse for fravalgte tiltag med henvisning til risikovurderingen.
- ☐ En ejer for hvert tiltag.
Kilder
- Datatilsynet, Katalog over foranstaltninger, oversigtssiden, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Åbn kataloget, vælg de tre foranstaltninger, der passer bedst til jeres største behandling, og find beviset for hvert tiltag.
Læs også: Er kontrollen der, eller har den virket? · Rettigheder på filserver og dokumentbiblioteker
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
