Et nyt system bør have sin opsætning kontrolleret, før det går i drift: konti, åbninger, logning, backup, opdatering og styring. Det er lettest at rette, mens systemet endnu ikke har brugere, og mange af punkterne kan driften selv afkrydse.
Tjeklisten her er praksis. Den bygger på kravet i bilaget til forordning 2024/2690 om sikre konfigurationer også for nyinstallerede systemer og kan holdes op imod statens tekniske minimumskrav som sammenligning.
Kravet om sikre konfigurationer fra start
Kun en række digitale tjenesteudbydere er bundet af gennemførelsesforordning (EU) 2024/2690. Alle andre kan læse bilaget som en målestok. Punkt 6.3.2, litra b, beder om processer og værktøjer, der holder de valgte sikre konfigurationer på plads, og nævner udtrykkeligt nyinstallerede systemer ved siden af dem, der allerede kører.
Punkt 6.1.2 handler om erhvervelse. Litra d nævner oplysninger om produktets sikkerhedsfunktioner “og den konfiguration, der er nødvendig for en sikker drift heraf”. Litra f nævner metoder til at validere og dokumentere resultaterne. For driften betyder det, at leverandørens anvisninger for sikker opsætning er en del af leverancen, og at kontrollen af dem skal kunne vises.
Første trin i “Cyberforsvar der virker” (Center for Cybersikkerhed, 2023) anbefaler en fast proces for at tænke sikkerhed ind i nye projekter. SAMSIK’s vejledning til NIS 2-loven foreslår, at enheden kan have faste procedurer for sikkerheden, når systemer anskaffes, udvikles og vedligeholdes.
Tjeklisten
Listen er tænkt som udgangspunkt. Tilpas den til jeres platforme.
Konti
- Standardkonti er deaktiveret eller har fået ny adgangskode.
- Administratorer er navngivne personer med særskilte konti.
- Servicekonti har en ejer og kun de rettigheder, systemet kræver.
- Login bruger det fælles katalog, hvor systemet kan.
Åbninger
- Kun de porte, systemet skal bruge, er åbne.
- Administrationsfladen kan ikke nås fra brugernettet eller internettet.
- Nye firewallregler har ejer, formål og eventuelt udløb.
- Testadgange fra installationen er lukket.
Logning
- Logning er slået til for login, ændringer af konti og administrative handlinger.
- Loggen sendes til den centrale opsamling.
- Tiden er synkroniseret med den fælles tidskilde.
Backup
- Systemet og dets konfiguration er med i et backupjob.
- En gendannelse er prøvet, før data bliver vigtige.
Opdatering og styring
- Styresystem og programmer er under aktiv support.
- Systemet er med i patchstyringen.
- Systemet modtager de fælles politikker fra styringsværktøjet.
Dokumentation
- Systemet står på systemlisten med ejer, rolle og placering.
- Netværkstegningen viser det.
Statens minimumskrav som sammenligning
Statens tekniske minimumskrav binder kun statslige myndigheder. De ti kategorier i vejledningen fra september 2025 er alligevel en nyttig kontrol af, om tjeklisten har huller. De går fra klienter, mail og autentifikation over adgangskoder og mobile enheder til logning og domænesikkerhed, og de slutter med netværket, de internetvendte tjenester og de interne it-systemer.
Kravoversigten fra juni 2024 har konkrete punkter, der passer på et nyt system. Styresystem og applikationer skal være under aktiv support (krav 5). Administrative rettigheder gives på en separat konto (krav 6). Logning skal bruge en fælles tidskilde (krav 16). Står systemet mod internettet, skal det kun bruge TLS 1.2 eller nyere og omdirigere HTTP til HTTPS (krav 27).
Hvem afkrydser
Den, der har installeret systemet, kan afkrydse de fleste punkter. Det er almindelig praksis, at en anden i driften går de punkter igennem, der kræver et skøn: om åbningerne er nødvendige, og om rettighederne er de mindste mulige. Udtrækket eller skærmbilledet bag hvert kryds gemmes sammen med listen.
Når leverandøren installerer
Leveres systemet færdigt af en leverandør, gælder tjeklisten stadig. Bed om leverandørens anvisning for sikker opsætning ved købet, sådan som forordningens punkt 6.1.2 lægger op til, og kontrollér den, før systemet tages i brug. Spørg især til standardkonti og fjernadgang for leverandørens egne folk. Står de ikke i anvisningen, er det et spørgsmål, der skal besvares skriftligt, før systemet tages i brug.
Systemer, der allerede kører
Punkt 6.3.2 omfatter også de systemer, der allerede kører. Brugt som målestok betyder det, at tjeklisten også kan bruges bagud. Tag de systemer, der er sat i drift siden sidste gennemgang, og kør listen på dem. De punkter, der ikke kan afkrydses, er fund. De punkter, der kan, giver driften et udtræk, som næste gennemgang kan bygge på.
Det er almindelig praksis at starte med de systemer, der står mod internettet, og dem, der har administratoradgang til andre systemer, fordi en fejl dér rækker længst.
Hvad det kræver, og hvad det koster at lade være
Det kræver en tjekliste, som ændringsstyringen insisterer på at se udfyldt, før et system må sættes i drift, og en person, der kan sige nej, hvis den ikke er udfyldt.
Uden kontrollen går systemet i drift med installationens indstillinger. Standardkonti, åbne administrationsflader og manglende logning opdages først ved den næste gennemgang, hvis de opdages.
Det skal I lade være med
- At lade testadgange blive stående efter installationen · luk dem, før brugerne kommer.
- At sætte systemet i drift og lægge det i backup bagefter · prøv gendannelsen først.
- At acceptere leverandørens standardopsætning uden anvisning · bed om den ved købet.
Det skal gennemgangen kunne vise
- ☐ En udfyldt tjekliste for hvert system sat i drift siden sidste gennemgang.
- ☐ Udtræk eller skærmbillede bag hvert kryds.
- ☐ Leverandørens anvisning for sikker opsætning.
- ☐ At ændringsstyringen kræver tjeklisten før idriftsættelse.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 6.1.2 og 6.3.2, læst 13. november 2026.
- Center for Cybersikkerhed, Cyberforsvar der virker, 4. udgave juli 2023, trin 1, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6 nr. 5, afsnit A, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2 og 3, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, kravoversigt juni 2024, krav 5, 6, 16 og 27, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tilpas tjeklisten til jeres platforme, og aftal med ændringsstyringen, at den skal være udfyldt, før et system går i drift.
Læs også: Konfigurationsstyring efter punkt 6.3 · Er alt med i backuppen?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
