En telefon, der har adgang til interne systemer som mail, bør være styret. En telefon, der kun bruger en app til internettilgængelige data efter login uden at gemme noget lokalt, er en anden sag. Den skelnen kommer fra de statslige minimumskrav, og den giver en klar prøve, når en gennemgang skal afgøre, hvilke enheder der hører med.
Kravene gælder kun statslige myndigheder. For andre er de en dansk målestok med dato, og de er usædvanligt konkrete.
Hvad statens krav siger
Minimumskrav 13 til 15 har tre dele.
Den første er låsekoden. Enheden skal have en numerisk kode på mindst seks cifre eller biometri.
Den anden er styring. Alle mobile enheder med app-baseret adgang til myndighedens data skal være tilmeldt et styringssystem til mobile enheder, en såkaldt MDM. Systemet leverer apps som styrede apps, holder myndighedens data adskilt fra resten, kan slette myndighedens data, hvis enheden bliver væk, sletter dem automatisk efter højst ti forkerte loginforsøg og afviser enheder, der er “rooted/jailbroken”.
Den tredje er opdatering. Styresystemet skal være under aktiv support, sikkerhedsopdateringer skal være installeret senest 30 dage efter udgivelsen, og apps skal opdateres automatisk.
Vejledningen definerer aktiv support: Kendte sårbarheder lukkes ved, at producenten frigiver sikkerhedsopdateringer.
Hvilke enheder er med
Vejledningen fra september 2025 giver afgrænsningen i afsnit 3.5:
- Kravene gælder, uanset om enheden er udleveret af arbejdsgiveren eller er medarbejderens egen.
- En app, der tilgår internettilgængelige data efter login uden at gemme data på telefonen, kræver ikke MDM.
- Enheder, der kun bruges til internet, telefoni og SMS, er ikke omfattet.
- Har enheden adgang til interne systemer, fx mail, kræver det MDM.
Det sidste punkt er det, der oftest flytter en enhed fra “ikke omfattet” til “omfattet” i en privat virksomhed. Mange medarbejdere har firmamail på deres egen telefon.
Vejledningen har også en detalje, der er let at overse: En enhed, der har været slukket, fx under orlov, skal opdateres straks, når den tændes igen.
Private enheder
Spørgsmålet om private telefoner er ofte et ledelsesspørgsmål, men kontrollen er teknisk. Kan en telefon, der ikke er tilmeldt styringen, hente mail? Svaret står i adgangsreglerne i mailsystemet eller i lejerens politikker for betinget adgang. Hvordan hullerne mellem de regler læses, står i politikker for betinget adgang.
Er svaret ja, er det et fund målt mod statens krav, uanset hvad personalehåndbogen siger. Er svaret nej, er det beviset på, at reglen virker.
Opdateringsniveauet
Opdateringsniveauet opgøres fra styringssystemet. Udtrækket skal vise hver enhed med model, styresystemets version, seneste sikkerhedsopdatering og tidspunktet for seneste kontakt. To spørgsmål stilles til listen:
- Er styresystemet stadig under aktiv support efter vejledningens definition?
- Er seneste sikkerhedsopdatering installeret inden for 30 dage efter udgivelsen?
Det første spørgsmål kræver, at nogen slår op, hvilke versioner producenten stadig udgiver sikkerhedsopdateringer til. Gennemgangen bør skrive datoen for opslaget, fordi svaret ændrer sig.
Enheder, der ikke har haft kontakt længe, skal have en forklaring. Det kan være telefoner i en skuffe. Det kan også være enheder, der stadig har data og adgang, men aldrig bliver opdateret.
Tablets og delte enheder
Tablets i lager, butik eller værksted er ofte delt mellem flere medarbejdere og logget ind med en fælles konto. De glemmes let, fordi ingen ejer dem. Statens prøve er den samme som for telefoner: Har enheden adgang til interne systemer, skal den være styret. En gennemgang kan derfor bede om en særskilt liste over delte enheder med den konto, de bruger, og hvad kontoen kan nå. Hvordan fælles konti i øvrigt kontrolleres, står i delte konti og fælles login i driften.
Det samme gælder enheder, der er sat op af en leverandør, fx håndterminaler til et forretningssystem. De kan have adgang til data uden at stå i jeres styring.
Det, en gennemgang kan læse i styringen
Ud over listen over enheder kan en gennemgang læse de politikker, der er sat i styringssystemet: krav til låsekode, antal forkerte forsøg før sletning, afvisning af ændrede enheder, adskillelse af data og automatisk opdatering af apps. Hver politik sammenlignes med punkterne i krav 13 til 15. Afvigelserne skrives som en liste med punkt, faktisk indstilling og begrundelse.
Når det offentlige bruger samme krav, kan der være særlige forhold, fx beretninger og tilsyn. Den vinkel er beskrevet under kontrol af IT i det offentlige.
Hvad det kræver, og hvad det koster at lade være
Det kræver et udtræk fra styringssystemet, et udtræk af reglerne for adgang til mail og data og et opslag af, hvilke styresystemversioner der er under support. Driften kan trække alle tre.
Uden kontrollen er det uklart, hvor mange telefoner der har firmamail uden styring. Bliver en af dem væk, kan I ikke slette data på den, og I ved ikke, om den var opdateret.
Det skal I lade være med
- At regne private telefoner for uden for gennemgangen · statens prøve er adgangen, ikke ejerskabet.
- At læse styresystemets version uden at slå supporten op · skriv datoen for opslaget.
- At lade enheder uden kontakt stå i listen uden forklaring · fjern dem, eller find dem.
Det skal gennemgangen kunne vise
- ☐ En dateret liste over mobile enheder med styresystem, seneste sikkerhedsopdatering og seneste kontakt.
- ☐ Politikkerne i styringssystemet sammenlignet med krav 13 til 15.
- ☐ Om enheder uden styring kan nå mail og interne data.
- ☐ Et dateret opslag af, hvilke styresystemversioner der er under aktiv support.
Kilder
- De tekniske minimumskrav for statslige myndigheder, opdateret september 2025, krav 13 til 15, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.1 og 3.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over mobile enheder fra styringssystemet, og find de telefoner, der kan hente mail uden at stå på den.
- Klienter og mobile enheder
- Klienter uden for styringen: konsulent-pc’er, hjemmearbejde og virtuelle skriveborde
Læs også: De statslige tekniske minimumskrav som tjekliste i en privat virksomhed · Opdateringsniveau: målt på maskinerne og ikke i værktøjet
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
