2022 Bygget til ISO 27001:2022 og NIS2-arbejdet

ISO 27001 system i Microsoft 365

Jeres ISMS bygget i SharePoint. Risikovurdering, Annex A-kontroller, SoA, politikker og audits samlet et sted – med sporbarhed fra risiko til bevis, i det værktøj I allerede bruger.

Book en ISO 27001-gennemgang Se hvordan det virker

Data i jeres egen tenant SharePoint og Teams Ingen licens pr. bruger

Kort fortalt

ISO 27001 er den internationale standard for ledelsessystemer for informationssikkerhed (ISMS). Et ISO 27001 system – også kaldet et informationssikkerhedsledelsessystem – samler risikovurdering, valg af kontroller, politikker, hændelser og audits, så I kan dokumentere over for auditor, kunder og myndigheder, at informationssikkerheden styres. Den gældende version er ISO 27001:2022 med 93 kontroller i Annex A. Certificeringen udføres af et akkrediteret certificeringsorgan.

Hvorfor nu

Fire grunde til, at virksomheder søger et ISO 27001 system

Kundekrav

Kunden eller udbuddet kræver certifikat

Leverandørvurderinger og udbud spørger i stigende grad efter ISO 27001 eller dokumenteret informationssikkerhed.

I skal bruge: et ISMS, der kan vises frem – ikke kun beskrives.

NIS2

NIS2-loven gælder fra 1. juli 2025

Omfattede virksomheder skal styre cyberrisici og indrapportere hændelser. ISO 27001 er ikke et lovkrav, men en anerkendt ramme for arbejdet.

I skal bruge: risikostyring og hændelseslog med sporbarhed.

Overgang

Certifikater efter 2013-versionen er udløbet

Overgangen til ISO 27001:2022 sluttede 31. oktober 2025. Ny struktur og 11 nye kontroller skal være dokumenteret.

I skal bruge: en opdateret SoA og kontroller efter 2022.

Excel og mapper

ISMS'et ligger spredt i regneark

Risici i et ark, kontroller i et andet og beviser i mapper. Det holder sjældent til en certificeringsaudit.

I skal bruge: et system, hvor tingene hænger sammen.

Annex A · ISO 27001:2022

ISO 27001 Annex A: 93 kontroller i fire temaer

Annex A er bilaget til ISO 27001 med 93 sikkerhedskontroller – konkrete tiltag som adgangsstyring, backup, awareness-træning og håndtering af hændelser. Hver kontrol skal vurderes: Er den relevant, hvordan er den implementeret, og hvorfor? Svaret dokumenteres i jeres Statement of Applicability (SoA). Vælg et tema:

93 kontroller

Politikker
Leverandører
Awareness
Adgangskontrol
Backup
Logning

Hold markøren over en kontrol for at se, hvad den dækker. Linjerne viser kontroller, der hænger sammen.

Sådan hænger det sammen

Fra risiko til bevis – i et ISO 27001 system

Auditor spørger ikke kun, om I har en politik. Auditor spørger, hvorfor kontrollen er valgt, og hvor beviset er. Systemet binder kæden sammen.

Aktiv

Systemer og data, der skal beskyttes

Fx CRM-data

Risiko

Trussel, sandsynlighed og konsekvens

Uautoriseret adgang

Kontrol

Valgt tiltag fra Annex A

Adgangsrettigheder

SoA

Begrundelse for valg og fravalg

Relevant · implementeret

Bevis

Dokument, log eller referat

Kvartalsvis adgangsreview

Valg af værktøj

ISO 27001 software – eller ISMS i Microsoft 365?

De fleste vælger mellem tre veje. Her er forskellen, når det gælder hverdag, data og audit.

	Excel og mapper	Separat ISMS-software	ISMS i Microsoft 365
Ny platform at lære	Nej	Ja – endnu et login	Nej – SharePoint og Teams
Hvor ligger data	Spredt i filer	Hos leverandøren	I jeres egen Microsoft 365-tenant
Sporbarhed risiko → bevis	Manuel	Ja	Ja
Dokumentstyring	Ingen versionering eller godkendelser	Ofte adskilt fra jeres øvrige dokumenter	Versionering og godkendelsesflow i SharePoint
Licensmodel	–	Typisk abonnement pr. bruger	BMF: ingen licens pr. bruger

Et ISMS indeholder jeres mest følsomme oplysninger: risici, sårbarheder og hændelser. Mange vælger derfor at holde det i det miljø, de allerede styrer adgangen til.

Løsningen

Sådan fungerer ISO 27001 i SharePoint

Systemet bygger på BMF Systems – vores ISO-ledelsessystem i SharePoint – og tilpasses jeres organisation og scope. Læs mere om ISO 27001 hos BMF.

Risikoregister og aktivliste

Aktiver, trusler, risikoniveau, ejer og behandling – koblet direkte til de kontroller, der reducerer risikoen.

Statement of Applicability (SoA)

Alle 93 kontroller med status, begrundelse, ansvarlig og link til dokumentation – klar til auditor.

SharePoint-lister

ISO 27001 dokumentstyring

Politikker og procedurer med versionering, godkendelse og læsekvittering.

SharePoint · Power Automate

Sikkerhedshændelser

Registrering fra Teams, klassificering og opfølgning med tidsstempler – også til NIS2-arbejdet.

Teams · Forms

Leverandører og awareness

Leverandørvurderinger og dokumenteret træning af medarbejdere.

SharePoint

Audit og ledelsens evaluering

Auditplan, fund, korrigerende handlinger og status i et dashboard.

Planner · Power BI

Forløbet

Sådan kommer I i mål med ISO 27001

GAP-analyse og scope

Hvad har I allerede – og hvad skal ISMS'et omfatte?

ISO 27001 system i SharePoint

Risikoregister, SoA og dokumenter sættes op, og eksisterende materiale flyttes ind.

Forankring og awareness

Ejere af risici og kontroller trænes, så systemet bruges i hverdagen.

Klar til ISO 27001-audit

Intern audit og ledelsens evaluering før certificeringsauditten.

OnePoint leverer systemet og hjælper med opbygningen. Selve certificeringen udføres af et uafhængigt certificeringsorgan, akkrediteret af DANAK.

Integreret ledelsessystem

Et system til flere standarder

ISO 27001 deler struktur med ISO 9001, ISO 14001 og ISO 45001. Dokumentstyring, audits og ledelsens evaluering kører i samme løsning.

ISO 9001 Kvalitet ISO 14001 Miljø ISO 45001 Arbejdsmiljø ISO 27001 Informationssikkerhed ISO 13485 Medicinsk udstyr ISO 22000 Fødevaresikkerhed NIS2 Cybersikkerhed Se alle QMS

FAQ

Ofte stillede spørgsmål om ISO 27001

Hvad er ISO 27001?

ISO 27001 er den internationale standard for ledelsessystemer for informationssikkerhed (ISMS). Den stiller krav til, hvordan en virksomhed identificerer informationssikkerhedsrisici, vælger og implementerer kontroller, og løbende forbedrer sin sikkerhed. Gældende version er ISO 27001:2022.

Hvad er et ISMS system?

Et ISMS (informationssikkerhedsledelsessystem) er de politikker, processer, risikovurderinger og kontroller, der styrer informationssikkerheden. Et ISMS system er det værktøj, der samler det hele – fx risikoregister, Statement of Applicability, dokumenter, hændelser og audits – så sammenhængen kan dokumenteres.

Kræver NIS2 en ISO 27001-certificering?

Nej. NIS2-loven, som trådte i kraft i Danmark 1. juli 2025, kræver ikke ISO 27001. Loven stiller krav om bl.a. risikostyring, sikkerhedsforanstaltninger og indrapportering af hændelser. Mange bruger ISO 27001 som ramme, fordi standarden dækker en stor del af det samme arbejde. Læs mere om NIS2 compliance i Microsoft 365.

Hvad er forskellen på ISO 27001 og ISO 27002?

ISO 27001 indeholder kravene til et ISMS og er den standard, man certificeres efter. ISO 27002 er en vejledning, der uddyber, hvordan de 93 kontroller i Annex A kan implementeres. Man kan ikke certificeres efter ISO 27002.

Hvad er de 93 kontroller i Annex A?

Annex A er et bilag til ISO 27001:2022 med 93 sikkerhedskontroller – konkrete tiltag som adgangsstyring, backup, awareness-træning og håndtering af hændelser. De er fordelt på fire temaer: 37 organisatoriske, 8 personrelaterede, 14 fysiske og 34 teknologiske. Virksomheden vurderer hver kontrol og begrunder i sin Statement of Applicability, om den er relevant, og hvordan den er implementeret.

Hvad er en Statement of Applicability (SoA)?

SoA er et obligatorisk dokument i ISO 27001. Det viser for hver af de 93 kontroller i Annex A, om den er relevant, om den er implementeret, og begrundelsen for valg eller fravalg. Auditor bruger SoA'en som udgangspunkt for certificeringsauditten.

Hvor lang tid tager det at blive ISO 27001-certificeret?

For en virksomhed med 50–500 medarbejdere tager det typisk 6–12 måneder fra start til certificering. Tiden afhænger af scope, og hvor meget der allerede er på plads. ISMS'et skal også have kørt en periode med intern audit og ledelsens evaluering, før certificeringsauditten.

Hvad koster et ISO 27001 system?

Prisen består af selve systemet, opsætning og tilpasning, intern tid samt certificeringsorganets audits. Mange ISMS-værktøjer er abonnementer pr. bruger. BMF bygges i jeres eksisterende Microsoft 365 og har ingen licens pr. bruger, så prisen stiger ikke, når flere medarbejdere skal have adgang.

Kan vi bruge Excel til ISO 27001?

Det er muligt, men sjældent holdbart. Når risici, kontroller, SoA og beviser ligger i separate regneark og mapper, er det svært at vise sporbarheden og holde versioner og godkendelser styr på. Det er typisk her, auditten finder afvigelser.

Er det sikkert at have ISMS'et i SharePoint?

ISMS'et ligger i jeres egen Microsoft 365-tenant og følger de adgangsrettigheder og sikkerhedsindstillinger, I allerede styrer. Følsomme oplysninger som risici og sårbarheder kan begrænses til de personer, der skal bruge dem.

Hvad skete der med ISO 27001:2013?

Overgangsperioden sluttede 31. oktober 2025. Certifikater efter 2013-versionen er ikke længere gyldige, og certificering sker nu efter ISO 27001:2022 med 93 kontroller i fire temaer.

Kan ISO 27001 kombineres med ISO 9001?

Ja. Standarderne har samme grundstruktur, så dokumentstyring, intern audit, afvigelser og ledelsens evaluering kan samles i et integreret ledelsessystem. Læs mere om ISO 9001.

Næste skridt