Datatilsynets katalog over foranstaltninger er et opslagsværk med korte beskrivelser af tekniske og organisatoriske sikkerhedstiltag efter art. 5, 25 og 32. For hver foranstaltning står, hvilke risici den adresserer, hvilke tiltag der kan overvejes, hvornår den er nødvendig, og hvilke afgørelser der hører til. Kataloget er efter tilsynets egne ord hverken udtømmende eller absolut. En afkrydsning gør jer altså ikke færdige. Til gengæld giver kataloget et godt offentligt billede af tilsynets forventninger og et fælles sprog mellem ledelse, DPO og IT-leverandør.
Her er otte af foranstaltningerne oversat til konkrete opgaver. Siderne er læst den 5. november 2026, og datoen for hver side står i kildeafsnittet. Oversættelsen til spørgsmål er vores.
Sådan bruger I kataloget
Tag det i forlængelse af risikovurderingen. Datatilsynet forklarer, at foranstaltningernes værdi afhænger af, hvilke andre der er etableret, og flere af siderne siger, at det primært er en risikovurdering, der viser, hvilke tiltag der er relevante. Nogle sider er dog tydeligere. Læs afsnittet “Hvornår er foranstaltningen nødvendig?”, og hold jeres situation op mod det.
Adgange
Periodisk kontrol af adgangsrettigheder. Datatilsynet har udtalt, at art. 32, stk. 1, normalt vil indebære løbende kontrol af, at adgange er begrænset til det arbejdsbetingede behov. Kontrollen ser på, om adgange har en gyldig autorisation, om de skulle være lukket, og om brugerkonti står ubrugte hen. Adgangene holdes op mod en troværdig kilde, typisk HR-systemet. Bed om seneste kontrol, hvem der lavede den, og hvad der blev rettet. Vær opmærksom på, at en gennemgang for at spare licenser er noget andet end en vurdering af behovet.
Ændringer i ansættelsen. Procedurer eller teknik skal fremtvinge en reaktion ved ansættelse, jobskifte, orlov og fratrædelse. Bed om at se, hvordan HR’s besked når frem til den, der lukker adgangen, og hvordan det sker i systemer uden for den centrale brugerstyring. Oprydningen er uddybet i alle kan se alt.
Multifaktorautentifikation. Ved adgang via internettet til systemer med beskyttelsesværdige oplysninger skriver tilsynet, at der skal være MFA eller noget, der tilsvarende øger sikkerheden. Administratoradgange kan kræve det, også når de ikke kan nås fra internettet. Bed om en oversigt over, hvilke logins der er omfattet, og hvilke der står uden.
Logning
Logning af brugernes anvendelser. Systemerne logger læsning, tilføjelse, søgning, ændring, udtræk og sletning, så vidt risikoen tilsiger det. Logs lagres beskyttet, og opbevaringstiden sættes efter formålet, med automatisk sletning af hensyn til dataminimering. Det skal også sikres, at I kan få logs udleveret fra databehandlere uden større besvær eller udgifter. Den sidste sætning er værd at tage med ind i aftalen.
Stikprøver i log. En log, ingen læser, opdager ikke misbrug. Tilsynet skriver, at stikprøver hvert halve år ofte vil være nødvendige, hvis brugere har bred adgang til mange følsomme oplysninger eller til oplysninger om mange personer. Bed om at se, hvornår den sidste stikprøve blev taget. Logs har også betydning efter et brud, se logs afgør, om I skal underrette.
Drift og netværk
Backup. Kataloget nævner bl.a. adskilte adgange til produktion og kopi, alarm ved fejl, netværksmæssig adskillelse, test af kopien og test af genetablering. Der står også, at data, som skal være slettet, slettes igen efter en genindlæsning. Bed om datoen for den seneste genetableringstest og om resultatet.
Sikkerhedsmæssig styring af software. Datatilsynet beskriver det som en foranstaltning, der altid skal implementeres i større eller mindre grad, hvor der behandles personoplysninger. Det gælder også firmware i enheder. Ved køb skal leverandøren oplyse, hvordan opdateringer sker, og hvornår de stopper. Bed om en liste over systemer uden opdateringer fra producenten. Se også gamle systemer med persondata.
Netværkssegmentering. Siden er tilføjet i 2025 og siger, at risikovurderingen af et system skal inddrage alle tilknyttede systemer og netværk, også dem, der regnes for sikre. Kameraer, sensorer og andet IoT-udstyr fremhæves, fordi det ofte er svært at holde opdateret. Udstyr, der ikke kan vedligeholdes, skal i højere grad isoleres eller afskaffes. Spørg, om sådant udstyr står på samme net som systemerne med persondata.
Hvem der gør hvad
Det meste af ovenstående ligger hos IT-leverandøren i en mindre virksomhed, men ansvaret for valget er den dataansvarliges. Kataloget beskriver ikke fordelingen. Vores forslag er at tage siderne én ad gangen med tre spalter: Hvad er aftalt med leverandøren? Hvad kan I selv kontrollere? Hvad mangler? Det giver en liste, ledelsen kan beslutte ud fra. Skal en uden for IT vurdere det tekniske, kan det ske i en GDPR-gennemgang.
DPO’en udfører ikke tiltagene. DPO’en rådgiver om, hvilke sider der er relevante, og kontrollerer, om det aftalte faktisk er på plads. Se når DPO’en går ned i systemerne. Sikker transmission er behandlet i kryptering af mail, og pseudonymisering i sin egen artikel. Kravet om awareness er beskrevet i GDPR-træning af medarbejdere.
Det skal I lade være med
- At bruge kataloget som facitliste · det er hverken udtømmende eller absolut.
- At spørge, om foranstaltningen findes · spørg, hvornår den sidst blev kontrolleret.
- At kopiere kravene til statslige myndigheder · siderne nævner dem særskilt, og de gælder ikke private som sådan.
Det skal I kræve af den eksterne
- ☐ En gennemgang af, hvilke sider der er relevante hos jer.
- ☐ Kontrol af de foranstaltninger, I regner med, i systemerne.
- ☐ En liste med afvigelser prioriteret efter risiko.
- ☐ Opdatering af vurderingen, når kataloget ændres.
Kilder
- Datatilsynet: Katalog over foranstaltninger, læst 5. november 2026.
- Periodisk kontrol af adgangsrettigheder og stikprøver i log, begge opdateret 7. november 2023.
- Tilpasning af adgangsrettigheder, MFA, logning og backup, alle opdateret 20. oktober 2025.
- Sikkerhedsmæssig styring og vedligehold af software og netværkssegmentering, begge opdateret 28. maj 2025.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Politik og virkelighed · Test af sikkerheden efter GDPR
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
