Spring til indhold
Opret gratis konto
Ressourcer›D-mærket

Hvad Ejerblik dækker i
D-mærket

Kortlægning kriterie for kriterie. Hvad vi dokumenterer, hvad vi understøtter, og hvad der ligger uden for produktet. Skrevet til dig, der er gået i gang med selvevalueringen, og til den rådgiver, der hjælper dig igennem den.

Det korte svar

Ejerblik gør dig ikke D-mærket

Ejerblik leverer den kortlægning af it-systemer, tjenester og software, som D-mærkets krav 1.2.3.1 beder om, og leverandørkortlægningen i krav 4.1.1.1. Det er de lister, resten af selvevalueringen bygger på. Politikkerne, træningen og den tekniske sikring ligger hos jer selv og jeres it-partner.

D-mærket er en dansk mærkningsordning for it-sikkerhed og ansvarlig dataanvendelse, som blandt andre Dansk Erhverv, DI og SMVdanmark står bag. Man får ikke mærket af at bruge et bestemt værktøj. Man får det ved at besvare kriterierne og få svarene efterprøvet af D-mærkets auditorer.

Så her står det i stedet kriterie for kriterie. Matricen nedenfor er vores egen vurdering af, hvad platformen faktisk indeholder, holdt op mod alle otte kriterier i D-mærkets selvevaluering. Hvilke krav der gælder jer, afhænger af den virksomhedsgruppe, D-mærket placerer jer i. Kortet viser dem alle.

Hvorfor kortlægningen kommer først

Tyve krav peger tilbage på den samme liste

Krav 1.2.3.1 beder om en vedligeholdt kortlægning af it-systemer, tjenester, netværkskomponenter, enheder og software. Tyve andre krav henviser direkte til den. Beredskabsplanen skal dække systemerne på listen. Administratorkonti til dem skal have flerfaktorgodkendelse. Opdateringsprocessen skal tage udgangspunkt i den, og backuppen skal vælges ud fra den.

Fem krav i kriterie 4 gør det samme med leverandørkortlægningen i 4.1.1.1. Uden de to lister kan resten af selvevalueringen kun besvares med et skøn.

Ejerblik
Listerne

Hvilke systemer og tjenester har I, hvem ejer dem, hvem har administratoradgang, hvilken leverandør står bag, og hvornår fornyes aftalen. Det er de to kortlægninger, selvevalueringen bliver ved med at henvise tilbage til, og udgangspunktet for listen over administratoradgange.

I sammen
Vurderingen og politikkerne

Hvad er forretningskritisk, hvilke risici accepterer ledelsen, og hvad står der i politikken for it-sikkerhed. Ejerblik giver strukturen gennem elleve færdige gennemgange. Rådgiveren giver fagligheden, og ledelsen godkender skriftligt, som D-mærket kræver det.

Din it-partner
Sikringen

Opdateringer, backup, logning, segmentering, malwarebeskyttelse og test. Hele kriterie 3. Registret kan vise, hvem der har administratoradgang til hvad, men sikringen af kontiene er it-partnerens.

Kortlægningen

D-mærkets otte kriterier

Hvert kriterie er delt i underkriterier, og hvert underkriterie i nummererede krav. Rækkerne følger underkriterierne, og tallene i parentes henviser til det enkelte krav. Kriterie 1.2 står med sine tre dele hver for sig, fordi Ejerblik leverer den ene og kun understøtter de to andre.

2
Leverer
19
Understøtter
16
Uden for

Kriterie 1 · Styring og forankring i ledelsen

1.1
Roller og ansvar
Ejer og ansvarlig står på hvert aktiv, og GDPR-gennemgangen har et afsnit om organisation og ansvar. Kravet er én navngiven ansvarlig for hele it-sikkerheden med mandat og adgang til ledelsen, og den udpegning er ledelsens egen.
Understøtter
1.2.1
Overblik over personoplysninger
GDPR-gennemgangen spørger til fortegnelsen over behandlinger. Der er intet felt på aktivet for, hvilke personoplysninger systemet rummer.
Understøtter
1.2.2
Overblik over forretningskritiske data
Risikoniveau pr. aktiv, og it-risikovurderingen har afsnit om information og data og om konsekvens og prioritering. Den ledelsesgodkendte definition af forretningskritiske data (1.2.2.1) er jeres egen, og der er intet kritikalitetsfelt på aktivet.
Understøtter
1.2.3
Overblik over it-systemer, tjenester og software
Aktivregistrets kerne: navn, kategori, platform, leverandør, ejer, ansvarlig, fornyelsesdato og omkostning pr. system. Domænetjek og kontoscanneren finder det, ingen har skrevet ned. Dækker it-systemer, tjenester og software i 1.2.3.1. Netværkskomponenter og enheder ligger uden for, og kravet tillader, at kategorierne kortlægges hver for sig. AI-værktøjer registreres som aktiver, og AI Act-gennemgangen spørger til fortegnelsen over dem (1.2.3.2).
Leverer
1.3
Risikostyring
It-risikovurderingen slutter med konsekvens, prioritering og ledelsens godkendelse, og hvert aktiv har et risikoniveau. Der er ingen oversigt over risici med ejer og opfølgning, og risikoappetitten fastlægger ledelsen selv.
Understøtter
1.4
Politik for it-sikkerhed
Cyberforsikringsgennemgangen spørger, om der foreligger en skriftlig it-sikkerhedspolitik godkendt af ledelsen. Ejerblik skriver den ikke. Kravet om aktivernes livscyklus (1.4.1.6) tager udgangspunkt i kortlægningen fra 1.2.3.1.
Understøtter
1.5
It-beredskabsplan
Beredskab og hændelseshåndtering stilles som spørgsmål i it-audit og i cyberforsikringsgennemgangen. Planen skal rumme kontaktoplysninger på interne ansvarlige og leverandører for hvert system (1.5.1.3 og 1.5.1.4). Ejer, ansvarlig og leverandør står på aktivet, men der er intet felt for, hvem der kontaktes ved nedbrud, eller for serviceniveau.
Understøtter
1.6
Politikker for ansvarlig dataanvendelse
GDPR-gennemgangen spørger til privatlivspolitik og behandlingsgrundlag. En politik for dataetik (1.6.2) dækkes ikke.
Understøtter
1.7
Udviklingsproces
Relevant for virksomheder, der selv udvikler software.
Uden for

Kriterie 2 · Awareness og sikker adfærd

2.1
Træning af bestyrelse og øverste ledelse
Ejerblik leverer ikke træning, og ingen gennemgang spørger til ledelsens egen træning i it-sikkerhed.
Uden for
2.2
Awareness om og træning i it-sikkerhed
Tre gennemgange spørger, om medarbejderne er trænet i phishing og it-sikkerhed inden for det seneste år. Ejerblik leverer ikke selve træningen.
Understøtter
2.3
Awareness om og træning i ansvarlig dataanvendelse
GDPR-gennemgangen spørger, om de medarbejdere, der håndterer persondata, er undervist i GDPR. Træning i dataetik dækkes ikke.
Understøtter

Kriterie 3 · Teknisk it-sikkerhed

3.1
Netværkssikkerhed og kryptering
Tekniske foranstaltninger.
Uden for
3.2
Korrekt konfiguration
Teknisk hærdning af systemer og enheder.
Uden for
3.3
Beskyttelse af administrative brugerkonti
Registret viser, hvem der har administratoradgang til hvilket aktiv, med adgangsudløb og aktiv status, og status på to-faktor-godkendelse pr. aktiv. Det er et udgangspunkt for kortlægningen i 3.3.1.5, men kravet beder også om begrundelsen bag hver tildeling, og den har intet felt. Den kvartalsvise gennemgang i 3.3.1.7 findes ikke som funktion. Unikke konti, adskilte administratorkonti og selve nedlukningen er it-partnerens.
Understøtter
3.4
Beskyttelse mod malware
Beskyttelse af den enkelte enhed og filtrering af mail.
Uden for
3.5
Kontinuerlig opdatering af software og styresystemer
Opdatering og patching stilles som spørgsmål i cyberforsikringsgennemgangen. Processen skal tage udgangspunkt i listen fra 1.2.3.1, og fornyelsesdatoerne viser, om en licens er løbet ud (3.5.1.2). Selve opdateringerne er it-partnerens.
Understøtter
3.6
Beskyttelse mod tab af data
Backup og test af gendannelse stilles som spørgsmål i flere gennemgange, men fanges ikke som felt på aktivet.
Understøtter
3.7
Overvågning af systemaktivitet
Ejerblik fører log over handlinger i platformen, men er ikke et logværktøj for jeres egne systemer.
Uden for
3.8
Segmentering af netværk
Drift af netværket.
Uden for
3.9
Fysisk sikkerhed
Adgang til lokaler og udstyr.
Uden for
3.10
Test af foranstaltningernes effektivitet
Sårbarhedsscanninger og penetrationstest. En ydelse fra it-partneren eller en ekstern.
Uden for

Kriterie 4 · Krav til leverandører

4.1
Leverandørlivscyklus og risikovurdering
Leverandør pr. aktiv med fornyelse, opsigelsesvarsel, omkostning og risikoniveau giver den leverandørkortlægning, 4.1.1.1 beder om. Domænetjek finder de leverandører på jeres egen hjemmeside, som ingen har skrevet ned. Der er intet felt for, om leverandøren behandler personoplysninger eller forretningskritiske data, og den årlige risikovurdering af hver leverandør (4.1.1.4) er jeres egen.
Leverer
4.2
Krav til it-sikkerhed hos leverandører
It-audit spørger, om de vigtigste leverandører har en uafhængig sikkerhedserklæring, og cyberforsikringsgennemgangen har et afsnit om leverandørstyring. Kontraktkravene skriver I selv. Når et leverandørforhold stopper (4.2.1.5), viser registret opsigelsesfristen og hvem der har adgang, men det lukker ingen adgange.
Understøtter
4.3
Krav til ansvarlig databehandling hos leverandører
Tre gennemgange spørger, om databehandleraftalerne er underskrevet og opdateret. Der er intet felt pr. leverandør for selve aftalen.
Understøtter

Kriterie 5 · Transparens og kontrol med data

5.1
Information i relation til personoplysninger
GDPR-gennemgangen spørger til privatlivspolitikken og informationen til de registrerede.
Understøtter
5.2
Cookies
Tre gennemgange spørger, om cookiesamtykket er sat korrekt op, og Domænetjek læser cookiedeklarationen på jeres hjemmeside for at finde leverandører. Selve samtykkeløsningen ligger uden for.
Understøtter
5.3
Kontrol over egne personoplysninger
GDPR-gennemgangen har et afsnit om de registreredes rettigheder. Brugerkontrollen i jeres egne løsninger bygger I selv.
Understøtter
5.4
Lettilgængelig klagevejledning
En oplysning på jeres egen hjemmeside.
Uden for

Kriterie 6 · Privacy og security by design og default

6.1
Vurdering
Gælder nyudviklede produkter og tjenester.
Uden for
6.2
Privacy by design og default
Relevant for virksomheder, der selv udvikler digitale løsninger.
Uden for
6.3
Security by design og default
Herunder kontrol af egen og tredjeparts kode.
Uden for
6.4
Implementering igennem udviklingsproces
En del af udviklingsarbejdet.
Uden for

Kriterie 7 · Pålidelige algoritmer og AI

7.1
Menneskeligt tilsyn, indgriben og transparens
AI Act-gennemgangen har afsnit om menneskeligt tilsyn, informationspligt og risikoklassificering. Kriteriet gælder algoritmer og AI, der kan have konsekvenser for mennesker, og vurderingen af dem er jeres egen.
Understøtter
7.2
Data- og modelkvalitet
AI Act-gennemgangen spørger til datastyring og datakvalitet. Valg af metode og den løbende evaluering af modellen ligger hos dem, der udvikler den.
Understøtter
7.3
Implementering igennem udviklingsproces
En del af udviklingsarbejdet.
Uden for

Kriterie 8 · Dataetik

8.1
Dataetiske overvejelser
Overvejelserne er ledelsens egne, og ingen gennemgang dækker dem i dag.
Uden for

Leverer betyder, at Ejerblik holder dokumentationen bag et eller flere af underkriteriets krav som strukturerede data. Noten siger hvilke. Understøtter betyder, at emnet stilles som spørgsmål i en af platformens gennemgange uden at blive fanget som felt på aktivet, eller at registret kun rummer en del af det, kravene beder om. Uden for betyder, at underkriteriet er en teknisk foranstaltning, en politik eller et stykke udviklingsarbejde, der hører hjemme hos jer selv eller jeres it-partner. Læs mere om D-mærket →

Hvad Ejerblik ikke er

  • Ejerblik er ikke en vej til D-mærket. Mærket tildeles af D-mærket efter en audit, og ingen platform kan love udfaldet.
  • Ejerblik er ikke et sikkerhedsværktøj. Vi scanner ikke for sårbarheder, tager ikke backup og aktiverer ikke to-faktor-godkendelse for jer.
  • Ejerblik holder ikke styr på jeres computere, telefoner og netværksudstyr. Vi dækker it-systemer, tjenester, software, adgange og leverandører.
  • Ejerblik skriver ikke jeres politikker. Politik for it-sikkerhed, behandling af personoplysninger og dataetik er ledelsens egne dokumenter.
Om denne kortlægning

Vurderingerne bygger på Ejerbliks datamodel og gennemgangsskabeloner, holdt op mod kriterierne, som de stod i D-mærkets selvevaluering den 21. september 2026. De er vores egne. Ejerblik er ikke tilknyttet D-mærket, og kortlægningen er hverken gennemgået eller godkendt af D-mærket, en auditor eller et certificeringsorgan. De gældende kriterier finder du hos D-mærket.

Vi opdaterer kortlægningen, når platformen ændrer sig, og når kriterierne gør det. Er du uenig i en vurdering, hører vi gerne fra dig på kontaktsiden.

Senest gennemgået 21. september 2026