Alle virksomheder med nogle år på bagen har et. Det gamle kundesystem, der kører på en server i et hjørne, fordi nogen af og til skal slå noget op. Den forrige løn- eller sagsløsning, som ingen længere bruger, men ingen tør slukke. Styringen til en maskine, der kræver en bestemt udgave af Windows. Producenten har for længst stoppet opdateringerne, og oplysningerne om tidligere kunder eller ansatte ligger der stadig.
Spørgsmålet er, hvad I skal gøre, og hvem der skal beslutte det. Datatilsynet har en foranstaltning, der svarer ret direkte: styring og vedligehold af software, senest opdateret 28. maj 2025.
Hvad Datatilsynet forventer
Foranstaltningen hører til i kataloget, som ellers er hverken udtømmende eller absolut. Tilsynet skriver dog, at netop denne skal indføres i det omfang, det er relevant, i de IT-miljøer, hvor der behandles personoplysninger.
For software, der ikke længere understøttes, nævner tilsynet tre ting. Organisationen skal regelmæssigt følge med i, hvornår leverandøren stopper med at opdatere, sælge eller yde support. Der skal være en plan for, hvad der så sker. Og hvis softwaren kan udgøre en sikkerhedsrisiko og ikke kan udskiftes, skal enheden eller systemet isoleres på netværket. Tilsynet kalder det en kompenserende foranstaltning, der begrænser risikoen for resten af IT-miljøet, og henviser til foranstaltningen om netværkssegmentering.
Tilsynet tilføjer, at det hele skal virke uafhængigt af organisationsændringer, herunder fratrædelser. Oversat til hverdagen betyder det, at viden om det gamle system ikke må sidde i hovedet på én medarbejder.
Den anden regel, der rammer systemet, er art. 5, stk. 1, litra e. Personoplysninger må ikke opbevares længere, end formålet kræver. Et system, ingen længere bruger aktivt, har tit mistet det formål, oplysningerne blev gemt til.
Få overblik først
Lav en kort liste over de systemer, I mistænker. For hvert system skal I kunne svare på disse spørgsmål.
- Hvilke oplysninger ligger der, om hvem, og fra hvilke år?
- Hvorfor findes det stadig? Er der en lovpligtig grund, eller er det en vane?
- Hvem bruger det, og hvor ofte?
- Hvornår stoppede opdateringerne, og hvad siger leverandøren?
- Hvad kan systemet nå på netværket, og kan det nås fra internettet?
Det sidste spørgsmål afgør hastværket. Et isoleret system er noget andet end en server, der står på samme net som alle andre, og hvor en angriber kan bruge en sårbarhed til at komme videre.
Isolere, tømme eller erstatte
Der er tre veje, og de kan kombineres. Valget er ledelsens, for det handler om risiko og økonomi. DPO’en rådgiver om, hvad vejene betyder for de registrerede.
Tømme. Spørg først, om oplysningerne overhovedet skal være der. Mange gamle systemer indeholder mest data, der er forældede efter jeres egne regler. Bogføringsmateriale har en lovbestemt frist på 5 år, og andre oplysninger har deres egne frister, så gennemgå det kategori for kategori. Kan det, I skal beholde, flyttes til et aktuelt system eller et lukket arkiv, kan resten slettes, og så forsvinder en stor del af risikoen, inden I har rørt netværket. Kan systemet ikke selv slette, så se systemet kan ikke slette.
Isolere. Skal systemet leve videre, så lad det stå på sit eget net uden adgang til internettet og med adgang kun for de få, der har brug for det. Slå fjernadgang fra, eller begræns den stramt. Tillad kun den trafik, der er nødvendig, og overvåg systemet, hvis det kan lade sig gøre. Isolering fjerner ikke sårbarheden, så I skal fortsat holde styr på, hvad systemet indeholder, og have en dato for, hvornår beslutningen tages op igen.
Erstatte. Er systemet stadig i brug, er en afløser den varige løsning. Beslutningen om, hvornår et system skal skiftes ud, er forretning og budget, og den er behandlet på hvornår et system skal udskiftes. For databeskyttelsen er det vigtigste, at gamle oplysninger ikke flyttes med ukritisk, og at det gamle system faktisk bliver lukket, når afløseren kører.
Når intet kan gøres nu
Nogle systemer kan hverken slukkes eller isoleres inden for rimelig tid. Så skal risikoen frem. Skriv ned, hvad systemet indeholder, hvad der kan ske for personerne, hvilke midlertidige tiltag I har sat i værk, og hvem der har accepteret risikoen indtil hvornår. Beslutningen hører til hos ledelsen, og DPO’ens vurdering skal fremgå. Følger ledelsen ikke rådet, er det god praksis at dokumentere årsagerne, sådan som WP243 anbefaler.
Så det ikke sker igen
Kataloget giver også råd til indkøb. Leverandøren bør levere sikkerhedsopdateringer og have en tydelig opdateringsproces, og den bør oplyse, hvornår opdateringerne stopper, og hvornår produktet ikke længere kan købes eller få support. Skriv det ind, når I køber, og sæt datoen ind i jeres fortegnelse eller systemoversigt. Hvad I ellers kan kræve ved køb, står i databeskyttelse gennem design ved køb. Giv også hvert system en ejer. Det er tit manglen på en ejer, der får et system til at blive stående.
Det skal I lade være med
· At beholde systemet af frygt for at mangle noget. Find ud af, hvad der faktisk skal bruges, og hvorfor.
· At kalde isolering en permanent løsning. Sæt en dato for næste vurdering.
· At flytte alle gamle data til det nye system. Så flytter I også problemet.
· At lade viden om systemet ligge hos en enkelt. Skriv den ned.
Det skal I kræve af den eksterne
- ☐ En gennemgang af systemer uden opdateringer og af deres persondata.
- ☐ En vurdering af de tre veje med konsekvens for de registrerede.
- ☐ En anbefaling til ledelsen med forslag til risikobeslutning og dato.
- ☐ Kontrol af, at isoleringen er gennemført i praksis, med dokumentation fra IT.
Kilder
- Datatilsynet: Sikkerhedsmæssig styring og vedligehold af software: senest opdateret 28. maj 2025, læst 5. november 2026.
- Datatilsynet: Katalog over foranstaltninger.
- Databeskyttelsesforordningen: art. 5, stk. 1, litra e, og art. 32.
- Bogføringsloven, lov nr. 700 af 24. maj 2022: § 12.
- WP243 på dansk: afsnit 3.1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Slettepolitik · Politikken siger ét, systemet gør noget andet
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
