Hvis du lever af events, content eller digitale produktioner, kan et enkelt spørgsmål fra en kunde i 2026 afgøre, om du får opgaven: “Kan I dokumentere jeres informationssikkerhed?”
Den her artikel giver dig et praktisk, afmystificeret overblik over, hvordan ISO 27001 faktisk implementeres i en lille, kreativ organisation — uden at du skal ligne en IT-afdeling på 50 personer. Du får konkrete trin, eksempler fra hverdagen (freelancere, produktionsteams, bureausamarbejder), typiske faldgruber og realistiske måder at forankre sikkerhed i en uformel kultur, hvor tempo og fleksibilitet er en del af forretningen.
Tidligt i forløbet hjælper det at have en klar definition: ISO 27001 er en international standard for et ledelsessystem for informationssikkerhed (ISMS), der kræver, at du arbejder systematisk med risici, kontroller, roller, dokumentation og løbende forbedringer. Det betyder noget, fordi dine samarbejdspartnere (platforme, bureauer, venues, brands) i stigende grad skal kunne vise, at deres leverandørkæde håndterer data forsvarligt — også når “leverandøren” er et lille team med skiftende freelancere.
Hvorfor ISO 27001 pludselig rammer kreative, events og digitale medier
I underholdnings- og fritidsbranchen er data sjældent “bare data”. Det kan være deltagerlister, VIP-information, kontrakter, udkast til kampagner, rå videofiler før release, adgang til annoncekonti, betalingsflows eller login til streaming- og ticketingplatforme. Samtidig er arbejdsformen ofte projektbaseret: midlertidige teams, delte drev, hurtige onboarding-forløb og mange eksterne værktøjer.
Det gør jer attraktive som angrebsmål (phishing mod kreative teams virker desværre ofte) og som compliance-risiko for store kunder. Flere oplever derfor krav som:
- Udfyldning af leverandørspørgeskemaer om sikkerhed
- Krav om dokumenteret risikostyring og adgangsstyring
- Kontraktkrav om håndtering af persondata (GDPR) og brudrapportering
- Krav om procedurer for underleverandører (freelancere, postproduktion, lyd, foto)
- Revision eller audit-lignende gennemgang før samarbejde
ISO 27001 bliver ofte valgt, fordi det er et anerkendt “fælles sprog” på tværs af lande og brancher. For mindre aktører kan det også være en måde at professionalisere driften på uden at opfinde sin egen standard fra bunden.
Overblikket: Hvad består en ISO 27001-implementering af i praksis?
En udbredt misforståelse er, at ISO 27001 primært handler om tekniske løsninger. I virkeligheden handler den om styring: at du kan forklare, hvilke risici du har, hvad du gør ved dem, og hvordan du sikrer, at det faktisk sker i hverdagen.
For en mindre virksomhed i en kreativ eller eventbaseret branche indebærer det typisk at etablere et ISMS med en håndfuld centrale dokumenter, klare roller og en rytme for at følge op. Midt i processen kan det være nyttigt at læse en samlet guide til ISO 27001 implementering, så du kan spejle dine egne aktiviteter i standardens struktur og audit-logik.
De 7 trin, du reelt skal igennem
- Afgræns scope: Hvad er omfattet (projekter, systemer, lokationer, datatyper)?
- Kortlæg aktiver og processer: Hvilke data, værktøjer og arbejdsgange er kritiske?
- Lav risikovurdering: Trusler, sårbarheder, sandsynlighed og konsekvens.
- Vælg kontroller: Hvilke sikkerhedstiltag reducerer risikoen til et acceptabelt niveau?
- Skriv og indfør politikker/procedurer: Gør det konkret og operationelt.
- Træn og forankr: Onboarding, adfærd, rutiner og ansvar i hverdagen.
- Test og forbedr: Intern audit, ledelsens gennemgang og korrigerende handlinger.
Hvad koster det typisk?
Omkostninger varierer meget efter modenhed, scope og hvor meget I kan gøre selv. For små teams er de største poster typisk tid (kortlægning, dokumentation, træning) og evt. ekstern hjælp til struktur/audit-forberedelse. Hvis I går efter certificering, kommer der også certificeringsorganets auditomkostninger. Som tommelfingerregel ser jeg ofte, at små organisationer undervurderer den interne tid med 30–50%, især hvis de har mange værktøjer og mange eksterne samarbejdspartnere.
Scope og informationsaktiver: Start med at gøre det mindre (og skarpere)
Det bedste “hack” for små aktører er at afgrænse scope klogt. ISO 27001 kræver ikke, at alt i virksomheden er omfattet fra dag ét — men det, du inkluderer, skal være sammenhængende og realistisk at styre.
Eksempel: Et lille produktionsselskab kan vælge at inkludere “produktion og postproduktion for kunders kampagnevideoer” samt de systemer, der bruges til filhåndtering, kommunikation og leverancer. Men man kan vælge at ekskludere et separat hobbyprojekt eller en ikke-kritisk webshop, hvis det er organisatorisk adskilt og ikke deler dataflow.
En enkel aktivliste, der virker i kreative miljøer
I stedet for at drukne i detaljer kan du starte med 20–40 aktiver og udvide senere. Typiske aktivkategorier:
- Persondata: deltagerlister, kundeemner, medarbejder-/freelancerdata
- Kommercielle data: kontrakter, budgetter, tilbud, rettighedsaftaler
- Produktion: råoptagelser, masters, projektfiler, lydspor
- Adgange: Google Workspace/M365, Adobe, Meta/Google Ads, ticketing, CMS
- Udstyr: laptops, eksterne diske, kameraer med Wi-Fi, mobiltelefoner
- Leverandører: cloud storage, postproduktion, streaming, eventplatforme
Pointen er at få et fælles billede af, hvad I beskytter, og hvor det lever.
Risikostyring uden excel-mareridt: Sådan gør du det audit-robust
Risikostyring er kernen i ISO 27001. Standardens logik er enkel: Du identificerer risici, vurderer dem, beslutter behandling, og dokumenterer beslutningerne. Det skal være konsistent og gentageligt — ikke “mavefornemmelse på dagen”.
En praktisk metode til små teams
Brug en skala, der er let at forklare:
- Sandsynlighed: 1–5
- Konsekvens: 1–5
- Risiko = sandsynlighed x konsekvens
- Risikokriterier: fx 1–6 lav, 8–12 medium, 15–25 høj
Eksempel fra eventbranchen: “Phishing mod projektmail → kompromitteret ticketing-login → udtræk af deltagerdata og refund-svindel.” Sandsynlighed kan være 4 (hyppigt), konsekvens 4 (høj), risiko 16 (høj). Behandling kan være MFA, adgangsbegrænsning, træning, og en procedure for ændring af betalingsoplysninger.
Typiske risici i 2026 for kreative og freelancerdrevne opsætninger
- Deling af filer via åbne links uden udløb eller adgangskontrol
- Genbrug af passwords på tværs af platforme
- Freelancere uden formaliseret onboarding/offboarding
- Uautoriseret brug af AI-værktøjer til kundemateriale (data lækker til tredjepart)
- Ustyrbar “shadow IT” (hurtige værktøjer oprettet til et projekt)
- Tyveri/tab af udstyr med lokale filer
Det vigtige er ikke at eliminere alt, men at kunne vise, at I har taget stilling, prioriteret og implementeret passende kontroller.
Politikker og procedurer: Hold dem korte, men operationelle
Mange små organisationer fejler her ved at kopiere lange policy-skabeloner, som ingen læser. Auditorer belønner ikke længde; de kigger efter sammenhæng mellem risiko, kontrol og praksis.
Et brugbart sæt grunddokumenter kan ofte holdes på 10–25 sider i alt, hvis de er skrevet stramt og med klare “sådan gør vi hos os”-beskrivelser.
Politikker, der typisk er nødvendige
- Informationssikkerhedspolitik (overordnet retning, mål, principper)
- Adgangsstyring (MFA, mindst mulige rettigheder, password manager)
- Håndtering af leverandører og freelancere (krav, NDA, adgange, offboarding)
- Hændelseshåndtering (hvad gør vi ved mistanke om brud?)
- Backup og gendannelse (hvad, hvor ofte, test)
- Klassifikation og håndtering af data (fx “kunde-fortroligt”)
Gør procedurerne målbare
I praksis hjælper det at skrive procedurer som tjeklister med “ejer”, “frekvens” og “evidens”. Eksempel: “Kvartalsvis gennemgang af delte links i cloud storage” med evidens i form af en eksport eller screenshot-log. Det lyder banalt, men det er præcis den slags, der gør en lille organisation audit-klar uden at indføre tungt bureaukrati.
Valg af kontroller: Fra Annex A til noget, der passer til jeres hverdag
ISO 27001 kræver, at du vælger relevante kontroller og dokumenterer det i en Statement of Applicability (SoA). Kontrollerne kommer fra Annex A (i ISO/IEC 27001:2022), men du skal ikke implementere dem alle. Du skal kunne forklare, hvorfor du har valgt dem til eller fra.
For kreative teams er det ofte her, man kan få mest effekt med mindst friktion. Nogle kontroller kan “løses” med standardfunktioner i de værktøjer, I allerede bruger.
Kontroller med høj effekt for små kreative organisationer
- MFA overalt (mail, storage, sociale annoncekonti, projektstyring)
- Central brugeradministration (fx Google Workspace/M365) frem for private konti
- Standardiseret onboarding/offboarding for freelancere
- Kryptering og skærmlås på bærbare enheder
- Backup med gendannelsestest (ikke kun “vi har backup”)
- Logning af kritiske systemer (mindst på admin-konti og filadgang)
- Kontraktuelle krav til underleverandører (databehandleraftaler, sikkerhedskrav)
Et konkret eksempel: Hvis I ofte deler store videofiler, kan en kontrol være “Deling kun via virksomhedscloud med adgangsstyring, udløb på links og begrænset download.” Det er mere effektivt end at forsøge at forbyde filudveksling.
Roller og ansvar: Når “IT” bare er den, der ved mest
Små virksomheder har sjældent en CISO eller compliance-afdeling. ISO 27001 kræver stadig klare roller, men de kan godt bæres af få personer, hvis ansvaret er tydeligt.
En typisk opsætning i et bureau eller produktionsteam kan være:
- ISMS-ansvarlig: koordinerer risici, dokumentation, audits (ofte COO/operations eller en senior producer)
- Systemejere: fx ansvarlig for mail/cloud, økonomisystem, ticketing
- Ledelsen: godkender politik, risikokriterier og ressourceprioritering
- Projektledere: sikrer at projektteams følger standardopsætninger
Det afgørende er, at der er en fast rytme: månedlig mini-status (30 min) og kvartalsvis risikogennemgang. Uden den rytme bliver ISMS et “projekt”, der dør, når næste produktion går i luften.
Dokumentation og evidens: Det auditoren leder efter (og hvordan du gør det let)
ISO 27001 opleves ofte som dokumentationstung. I realiteten handler det om at kunne bevise, at I gør det, I siger. For små organisationer bør dokumentation designes som biprodukt af drift, ikke som ekstraarbejde.
Gode evidens-kilder i en kreativ hverdag:
- Uddrag fra adgangslog (MFA aktiveret, admin-roller begrænset)
- Skærmbilleder af standardindstillinger (deling, udløb, rettigheder)
- Onboarding-tjekliste for freelancere med dato og ansvarlig
- Incident-log (selv hvis den er tom, skal den eksistere)
- Backup-rapport og bevis på gendannelsestest
- Referater fra ledelsens gennemgang og intern audit
En klassisk faldgrube er at skrive flotte politikker, men mangle spor af udførelse. En anden er at gemme evidens spredt i mails og chats, så det bliver tidskrævende at finde under audit. Lav ét “ISMS-bibliotek” i jeres dokumentstruktur med faste mapper og navngivning.
Træning og daglig forankring: Sikkerhed i en uformel kultur
For kreative teams er den største risiko ofte adfærd under tidspres: “Jeg sender lige filen hurtigt”, “Jeg bruger min private mail”, “Jeg giver bare adgang til hele drevet”. Træning virker kun, hvis den er tæt på praksis og gentages.
Træning, der ikke dræber energien i teamet
- 15-minutters onboarding til alle (inkl. freelancere) før første adgang gives
- Kort “do/don’t” for fildeling, kundedata og AI-brug
- Phishing-øvelse 1–2 gange årligt med læring, ikke udskamning
- Mini-brief før store events/launches: hvem har admin, hvem må ændre betalingsinfo, hvor ligger incident-planen?
Hvis I arbejder med skiftende hold, så gør træning til en del af kontraktflowet: “Du får adgang, når onboarding-tjeklisten er gennemført.” Det er både sikkerhed og forventningsafstemning.
Daglige vaner, der gør jer “ISO-klar” uden at tænke over det
- Brug password manager og del aldrig credentials i chat
- Arbejd i projektmapper med begrænsede rettigheder (ikke “alle har alt”)
- Brug standardkontrakter/NDA for freelancere og underleverandører
- Hold en fast “clean-up”-rutine efter projekter (luk adgange, arkivér, slet links)
De mest almindelige fejl (og hvordan du undgår dem)
De fejl, jeg ser igen og igen hos små aktører, handler sjældent om manglende vilje — men om at man starter det for stort, for teoretisk eller uden ejerskab.
- For bredt scope: Start med kerneleverancen og de vigtigste systemer, udvid senere.
- Skabelon-politikker uden praksis: Skriv kun det, I kan og vil efterleve, og skab
