De fleste driftsafdelinger svarer ja til, at administratorerne har egne konti. Det, en gennemgang skal kunne se, er om adskillelsen holder i praksis: at administratorkontoen kun bruges til administration, at den ikke læser mail eller går på nettet, og at den bruges fra en maskine, der er sat op til netop det.
Adskillelsen har to dele. Den ene handler om kontoen, den anden om maskinen, der administreres fra. Begge kan påvises med udtræk.
Hvad forordningen kræver af de omfattede
Bilaget til gennemførelsesforordning (EU) 2024/2690 er detaljeret her. Punkt 11.3.2, litra b), siger, at der “oprettes særlige konti, der udelukkende skal anvendes til systemadministrationsaktiviteter, såsom installation, konfiguration, forvaltning eller vedligeholdelse”. Litra d) siger, i en forenklet gengivelse af en sprogligt ufuldstændig dansk tekst, at systemadministrationskonti kun bruges, når der forbindes til systemer til administration.
Punkt 11.4.2 handler om maskinerne. Systemer til administration skal kun bruges til administrationsformål, holdes logisk adskilt fra programmer, der ikke bruges til administration, og beskyttes med autentificering og kryptering. Punkt 11.6.2, litra f), kræver særskilte loginoplysninger til privilegerede konti og administrationskonti.
Kravene gælder for de virksomhedstyper, forordningen omfatter, fx udbydere af cloudtjenester og administrerede tjenester. For andre er bilaget en dansk tekst, der kan bruges som målestok. Forordningens artikel 2 lader kravene anvendes i forhold til risikoen, og et fravalg skal begrundes skriftligt.
Hvad de øvrige målestokke siger
SAMSIK anbefaler i vejledningen om passwordsikkerhed fra 2026, at “administrative konti kun anvendes, når der udføres aktiviteter, der kræver administrative privilegier”. Mail og internet klares med en almindelig konto, og en administrativ konto bør være personlig.
De statslige tekniske minimumskrav, som er obligatoriske for statslige myndigheder og en dateret målestok for alle andre, går et skridt videre i krav 6. Administrative rettigheder på klienter gives til en separat konto, der kun bruges til de aktiviteter, der kræver dem. Medarbejdere, der ikke har administration som primær funktion, får kun en separat administratorkonto tidsbegrænset og efter dokumenteret godkendelse.
DORA’s tekniske standard for IKT-risikostyring siger i artikel 21, at finansielle enheder så vidt muligt bruger særlige konti til administrative opgaver. I producentens råd om at beskytte kataloget står der, at sikre administrationsmaskiner ikke kører mail, browser eller kontorprogrammer, at et betroet system aldrig administreres fra en mindre betroet maskine, og at privilegerede konti kræver MFA.
Udtrækkene, der viser kontodelen
Hvilke udtræk der bruges, er praksis. En gennemgang kan typisk vise kontodelen sådan:
- Administratorgrupperne holdt op mod kontonavnene · står der personlige standardkonti i de privilegerede grupper, er adskillelsen ikke gennemført. Listen fra opgørelsen over administratorrettigheder er udgangspunktet.
- Postkasser på administratorkonti · har en administratorkonto en aktiv postkasse, bruges den sandsynligvis også til mail.
- Antal administratorkonti pr. person · hver administrator bør have netop én personlig administratorkonto pr. miljø, og den bør kunne føres til personen.
- Midlertidige administratorkonti på klienter · for den, der bruger minimumskravene som målestok, er spørgsmålet, om de har en udløbsdato og en dokumenteret godkendelse.
Udtrækkene, der viser maskindelen
Maskindelen er sværere at påvise, fordi den handler om, hvor kontoen bruges. Det er almindelig praksis at læse loginloggen for administratorkontiene og se, fra hvilke maskiner de logger på. Logger en domæneadministrator på fra en almindelig bærbar, der også bruges til mail, er administrationsmaskinen ikke adskilt, uanset hvad dokumentationen siger.
Gennemgangen kan også kigge på selve administrationsmaskinerne: hvilke programmer der er installeret, om der er en mailklient og en browser i almindelig brug, og om maskinen administreres fra et miljø med samme eller højere tillid. Microsofts princip om, at et betroet system ikke administreres fra en mindre betroet maskine, er den målestok, fundet holdes op imod.
Når adskillelsen ikke kan gennemføres fuldt
I mindre driftsafdelinger er der ofte ikke maskiner nok til, at hver administrator har en særskilt administrationsmaskine. Forordningens artikel 2 åbner for, at kravene anvendes i forhold til risikoen, men et fravalg skal begrundes og dokumenteres. Den, der bruger bilaget som målestok, kan gøre det samme.
En sådan begrundelse bør stå på undtagelseslisten med det, der afbøder risikoen i stedet, fx et adskilt miljø på den samme fysiske maskine eller en stram begrænsning af, hvilke systemer administratorkontiene kan logge på. Hvad der er godt nok, afhænger af miljøet. Det er en vurdering.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver administrator har to konti og en vane, der skelner mellem dem, og at der findes maskiner eller adskilte miljøer til administration. For en lille driftsafdeling er det især maskindelen, der kræver planlægning.
Uden adskillelsen bliver administratorens almindelige hverdag, med mail, vedhæftede filer og websider, også en vej ind til de højeste rettigheder. Det er netop den sammenblanding, kilderne vil undgå.
Det skal I lade være med
- At give administratorkontoen en postkasse · så bruges den til mail.
- At administrere domænet fra den bærbare, der også bruges til alt andet · det er maskindelen, der så mangler.
- At dele én administratorkonto mellem flere · SAMSIK anbefaler personlige administrative konti.
Det skal gennemgangen kunne vise
- ☐ Liste over administratorkonti holdt op mod personerne bag.
- ☐ Bevis for, at administratorkonti ikke har postkasse eller bruges til mail.
- ☐ Loginlog, der viser, hvilke maskiner administratorkontiene bruges fra.
- ☐ Beskrivelse af administrationsmaskinerne og deres opsætning.
- ☐ Godkendelse og udløbsdato for midlertidige administratorkonti på klienter.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, artikel 1 og 2 og punkt 11.3.2, 11.4.2 og 11.6.2, læst 13. november 2026.
- SAMSIK, Passwordsikkerhed, oktober 2026, side 17, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder 2024, opdateret september 2025, krav 6, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 21, læst 13. november 2026.
- Microsoft Learn, Best practices for securing Active Directory, opdateret 21. maj 2025, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over administratorkonti med en aktiv postkasse. Hver linje på den liste er et sted, hvor adskillelsen ikke holder.
Læs også: Delte konti og fælles login i driften · MFA-dækning
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
