Leder I efter en dansk målestok med konkrete tal, som driften kan måle sig selv imod, er statens tekniske minimumskrav et af de mest håndgribelige steder at begynde. Kravene binder kun statslige myndigheder, men de ti kategorier og parametrene kan bruges som en frivillig tjekliste i en privat virksomhed.
For en privat virksomhed er der ingen pligt. Det, kravene giver, er en kort og konkret liste med tal, der kan kontrolleres i opsætningen.
Hvad kravene er, og hvem de binder
Styrelsen for Samfundssikkerhed skriver i vejledningen fra september 2025, at kravene er obligatoriske for alle statslige myndigheder og ufravigelige. En myndighed kan ikke undtage systemer ud fra en risikobetragtning. Størstedelen af kravene bygger på vejledninger fra styrelsen og Datatilsynet, resten på udbredt god praksis.
Selve kravene med numre og anvisninger står i kravoversigten fra juni 2024. Det er den seneste oversigt, vi har fundet. Om den er afløst af en nyere version, er ikke bekræftet ⚠. Septembervejledningen fra 2025 bruger de samme kravnumre, hvilket efter vores tolkning tyder på samme kravsæt.
Er I en statslig myndighed, er det en pligt med egen opfølgning. Den side af sagen hører til it-revision og tilsyn i det offentlige. Her handler det om at låne listen.
De ti kategorier
Vejledningen ordner kravene i ti grupper. De handler om klienter og mobile enheder, om mail og domæner, om login og password, om logning og netværk, og om de tjenester, der vender mod internettet, og dem, der kun bruges internt. Kategorierne kan bruges direkte som afsnit i en egenkontrol.
Parametrene, der kan måles
Tabellen viser et udvalg af anvisningerne fra kravoversigten fra juni 2024. Kolonnen med bevis er vores forslag til, hvor driften kan finde det.
- Klienter · Statens anvisning (krav nr.): Fuld diskkryptering af fysiske klienter (3) · Hvor beviset typisk findes: Udtræk fra klientstyringen over krypteringsstatus
- Klienter · Statens anvisning (krav nr.): Administrative rettigheder kun på separat konto, tidsbegrænset og dokumenteret godkendt (6) · Hvor beviset typisk findes: Gruppemedlemskaber og godkendelser
- Opdatering · Statens anvisning (krav nr.): Ikke-kritiske systemer opdateret inden for 30 dage, kritiske hurtigere (5) · Hvor beviset typisk findes: Opdateringsstatus pr. maskine med dato
- Mail · Statens anvisning (krav nr.): TLS 1.2 som minimum (9) · Hvor beviset typisk findes: Mailsystemets transportindstillinger
- Autentifikation · Statens anvisning (krav nr.): Flerfaktor uden engangskoder på SMS eller mail (11) · Hvor beviset typisk findes: Liste over tilladte metoder i identitetsplatformen
- Password · Statens anvisning (krav nr.): Tjek mod lækkede passwords mindst én gang om måneden (12) · Hvor beviset typisk findes: Log fra kontrollen med dato
- Logning · Statens anvisning (krav nr.): Fælles tidskilde og opbevaring i mindst 12 måneder (16) · Hvor beviset typisk findes: Tidsindstilling og opbevaringsindstilling pr. logkilde
- Domæner · Statens anvisning (krav nr.): DMARC med politikken reject (23) · Hvor beviset typisk findes: Offentlige DNS-poster
- Netværk · Statens anvisning (krav nr.): WPA2 som minimum, også på gæstenet (24) · Hvor beviset typisk findes: Trådløs opsætning
- Internetvendte tjenester · Statens anvisning (krav nr.): Kun TLS 1.2 eller højere, HTTP omdirigeret til HTTPS (27) · Hvor beviset typisk findes: Opsætning på webserver eller proxy
- Internetvendte tjenester · Statens anvisning (krav nr.): Portscanning mindst en gang i kvartalet af alle porte (28) · Hvor beviset typisk findes: Scanningsrapporter med dato
- Interne enheder · Statens anvisning (krav nr.): Infrastrukturenheder opdateret inden for 90 dage (29) · Hvor beviset typisk findes: Firmwareversioner med dato
Om engangskoder skriver vejledningen, at de skal genereres lokalt og ikke må sendes til brugeren, fx via SMS eller mail. Om password nævner den, at kontrollen kan laves med et værktøj, der holder hashværdierne af de brugte passwords op mod lister over kendte lækager og svage valg. Så forlader passwordene ikke huset.
Afgrænsningerne, der også er værd at låne
Vejledningen er præcis om, hvad der hører med, og det kan bruges, når I afgrænser jeres egen kontrol:
- Klientkravene omfatter alle typer klienter, der kan nå de interne systemer, også virtuelle, og uden hensyn til styresystem. Konsulenters udleverede computere tæller med. Kun kravet om diskkryptering undtager de virtuelle.
- Portscanningen gælder egne internettilgængelige adresser, alle TCP-porte. Der stilles ikke krav om sårbarhedsscanning, kun om at tjenesterne afdækkes. Adresser, som en leverandør ejer, falder uden for, men styrelsen råder til at skrive scanning ind i aftalen.
- Endpoint-beskyttelse er tilstrækkelig med antivirus med automatisk opdatering.
Sådan bruges listen i en privat drift
En frivillig målestok skal bruges med omtanke. Det er vores forslag at gøre sådan:
- Gå kategorierne igennem, og marker de krav, der passer til jeres miljø.
- Skriv for hvert krav, om det er opfyldt, delvist opfyldt eller fravalgt. Staten regner kun et krav for efterlevet ved fuld efterlevelse. Den strenghed kan I vælge at låne.
- Begrund fravalg. Et krav kan være fravalgt, fordi risikoen håndteres på anden måde.
Nogle tal passer ikke uden videre til en privat drift. Fristen på 30 dage for opdatering af ikke-kritiske systemer er sat til staten, og en virksomhed med et fagsystem, der kun opdateres i bestemte vinduer, kan have gode grunde til en anden rytme. Det vigtige er, at rytmen er valgt og skrevet ned, så den kan kontrolleres. Det samme gælder opbevaringstiden for logs. Tolv måneder er statens tal, men jeres egen tid skal hænge sammen med, hvor langt tilbage I vil kunne undersøge en hændelse.
Et andet punkt er gæstenettet. Kravet om WPA2 gælder også dér i staten. Tag det med i jeres egen kontrol, fordi et gæstenet let bliver overset, når det interne net strammes.
Udvalgte krav kan kontrolleres udefra med den statslige scanner sikkerpånettet.dk. Ifølge vejledningen scanner den efter flere tiltag, end der stilles krav om, og den kan ikke scanne alle krav.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at driften trækker et udtræk pr. kategori og skriver status ud for hvert krav. Mange af punkterne kan kontrolleres på kort tid, fordi de er tal: en protokolversion, en DNS-post, en opbevaringstid.
Uden en målestok med tal bliver egenkontrollen en vurdering. Med tallene kan I se, hvor I står, og om I står samme sted næste gang.
Det skal I lade være med
- At skrive, at kravene gælder jer, hvis I er en privat virksomhed · de binder kun statslige myndigheder.
- At lade et krav stå som opfyldt, når kun en del af maskinerne lever op til det · staten kræver fuld efterlevelse.
- At glemme datoen på kravoversigten · den, der er læst her, er fra juni 2024.
Det skal gennemgangen kunne vise
- ☐ Status pr. krav: opfyldt, delvist opfyldt eller fravalgt med begrundelse.
- ☐ Et udtræk eller en DNS-post som bevis for hvert opfyldt krav.
- ☐ Rapporter fra portscanning af egne internettilgængelige adresser med dato.
- ☐ Versionen og datoen på den kravoversigt, der er målt imod.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1, 3 og 4, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, kravoversigt juni 2024, krav 1 til 29, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag kategorien domænesikkerhed først: slå jeres DMARC- og SPF-poster op, og skriv status ud for kravene.
Læs også: SAMSIK’s vejledninger læst som kontrolpunkter · sikkerpånettet.dk som hurtig egenkontrol
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
