En IT-brugerpolitik (på engelsk Acceptable Use Policy, i Frankrig kaldet charte informatique) fortæller alle, der bruger jeres systemer, hvad de må gøre, hvad de ikke må gøre, og hvad virksomheden må kontrollere. Acceptable Use Express er en selvbetjeningsworkshop, der hjælper en europæisk SMV med at skrive en sådan politik i klart sprog, knyttet til GDPR og ISO/IEC 27001, med fjernarbejde, private enheder og generativ AI dækket. Du får et arbejdsudkast i din virksomheds navn, som din egen rådgiver skal godkende.
Et kort, læsbart dokument, der omsætter dine sikkerhedsintentioner til hverdagsregler for folk
De fleste små og mellemstore virksomheder har computere, en postkasse pr. person, delte filer i skyen, nogle forretningsapplikationer og i stigende grad telefoner og bærbare computere, der forlader kontoret. Det, de ofte mangler, er ét samlet dokument, der med ord en medarbejder forstår, siger, hvordan disse værktøjer må bruges. Dette dokument er brugerpolitikken. I Frankrig kaldes den typisk en charte informatique; på engelsk hedder den "acceptable use policy" eller "IT usage policy", og på dansk hører man også om it-reglement eller it-sikkerhedsregler. Navnet betyder mindre end de tre opgaver, den har.
Brugere kan ikke overholde regler, som ingen har skrevet ned. En brugerpolitik angiver den forventede adfærd for adgangskoder, e-mail, internetbrowsing, fildeling, flytbare medier, softwareinstallation, privat brug af virksomhedens udstyr, rejser og fjernarbejde. Den er den brugervendte del af din sikkerhed, den del der når ned til hvert enkelt skrivebord.
Logning, filtrering, adgang til postkasser under fravær, enhedsadministration, backup af arbejdsstationer: alt dette involverer personoplysninger om medarbejdere. Efter databeskyttelsesforordningen (GDPR) skal de berørte personer informeres om formålene med og betingelserne for behandlingen (artikel 13). Brugerpolitikken er et naturligt sted at give disse oplysninger i én samlet, sammenhængende tekst i stedet for spredt over e-mails.
Når en regel overtrædes, skal en organisation kunne vise, at reglen fandtes, at personen kendte til den, og at den overvågning, der afslørede overtrædelsen, selv var lovlig og proportional. En politik, der aldrig blev kommunikeret, eller som skjuler overvågning, medarbejderne aldrig har hørt om, giver dig meget lidt at stå på. Hvordan en politik bliver håndhævelig, afhænger af den nationale arbejdsret, og derfor holder vi denne side generel og sender dig til din rådgiver for det sidste trin.
Den internationale sikkerhedsstandard anerkender denne rolle eksplicit. ISO/IEC 27001:2022 indeholder i bilag A kontrol 5.10 "Acceptabel anvendelse af information og andre tilknyttede aktiver", som forventer, at regler for acceptabel anvendelse samt procedurer for håndtering af information og aktiver identificeres, dokumenteres og implementeres. En brugerpolitik er den mest almindelige måde, SMV'er opfylder den forventning på, uanset om de nogensinde søger certificering.
Kilder: Forordning (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, offentlig side på iso.org
De samme håndfuld fejl går igen og igen. Ingen af dem kræver et stort budget at rette.
En politik hentet fra internettet beskriver andres værktøjer, andres land og andres risici. Den nævner systemer, du ikke bruger, og tier om dem, du bruger. Medarbejderne bemærker det og holder op med at læse.
Et dokument, der ligger i en delt mappe, er ikke blevet kommunikeret. Hvis du ikke kan vise, hvem der modtog det, hvornår og i hvilken version, vil det være svært at støtte sig til senere. I flere lande er informations- eller høringsprocedurer over for medarbejderne en del af det, der gør reglerne gældende.
Logs fra webfiltrering, mail-gateways, enhedsadministration og værktøjer til forebyggelse af datatab observerer alle mennesker. GDPR kræver gennemsigtighed (artikel 5, stk. 1, litra a) og oplysning til de berørte personer (artikel 13). Overvågning, der holdes stille, er i sig selv en compliance-risiko.
Mange it-politikker blev skrevet, da alle arbejdede ved et skrivebord på kontoret. De siger intet om hjemme-wifi, private telefoner, der modtager virksomhedens e-mail, eller medarbejdere, der indsætter kundedata i en offentlig chatbot. Hullet er der, hvor hændelserne sker.
Kapitlerne nedenfor er rygraden i det udkast, workshoppen producerer. Hvert enkelt tilpasses dine svar, og hvert enkelt kan forkortes eller fjernes.
Medarbejdere, praktikanter, midlertidigt ansatte, konsulenter og alle med en konto. Hvilke systemer der er omfattet: arbejdsstationer, mobile enheder, e-mail, samarbejdssuiter, forretningsapplikationer, netværk, printere, cloudlagring. Et klart omfang undgår det klassiske argument "dette gjaldt ikke for mig".
Personlige, ikke-overdragelige konti; adgangskodekvalitet og -opbevaring; multifaktorgodkendelse, hvor virksomheden har indført den; låsning af sessionen, når man forlader skrivebordet; hvad man gør, hvis en adgangskode muligvis er blevet kompromitteret.
Relateret: NIS2, art. 21, stk. 2, litra j nævner multifaktorgodkendelse blandt foranstaltningerne for enheder i anvendelsesområdet.
Professionel brug som hovedregel, rimelig privat brug hvis virksomheden tillader det, og hvordan private beskeder skal identificeres. Årvågenhed over for phishing, bilag og links, videresendelsesregler, automatisk videresendelse til private adresser, forbudte sites og indhold.
Hvilke oplysninger der er fortrolige, hvordan de må deles internt og eksternt, godkendte værktøjer til fildeling, print, clean desk og pligten til kun at behandle personoplysninger efter virksomhedens instrukser.
GDPR art. 29 og art. 32, stk. 4: personer, der handler under den dataansvarliges myndighed, må kun behandle personoplysninger efter instruks fra denne.
Hvem der må installere software, brug af private USB-nøgler og eksterne drev, pleje af bærbare computere og telefoner, indberetning af tab eller tyveri samt tilbagelevering af udstyr og adgang, når en medarbejder stopper (ISO/IEC 27001:2022 bilag A har også en kontrol for tilbagelevering af aktiver, 5.11).
Arbejde hjemmefra, hos en kunde eller på farten: betroede netværk, VPN når det kræves, skærmprivatliv, fysisk beskyttelse af udstyr, videoopkald på offentlige steder. ISO/IEC 27001:2022 bilag A har en dedikeret kontrol, 6.7 "Remote working" (fjernarbejde).
Om private telefoner, tablets eller computere må få adgang til virksomhedens data, og under hvilke betingelser (skærmlås, opdateringer, separat arbejdsprofil, fjernsletning af kun virksomhedsdata), samt hvad virksomheden må og ikke må se på en privat enhed.
Hvilke AI-værktøjer der er godkendt, hvilke data der aldrig må indtastes i dem (personoplysninger, kundehemmeligheder, kildekode, legitimationsoplysninger), menneskelig gennemgang af output, og hvordan man anmoder om et nyt værktøj. En politik, der blot forbyder alt, har en tendens til at skubbe brugen ud af syne.
AI-forordningen, forordning (EU) 2024/1689, art. 4 om medarbejderes AI-kompetence.
Hvad der logges, filtreres eller kontrolleres, til hvilket formål, af hvem, hvor længe logs opbevares, og de berørte personers rettigheder. Dette kapitel er der, hvor GDPR's gennemsigtigheds- og oplysningspligter opfyldes.
GDPR art. 5 og art. 13.
Hvordan og til hvem man indberetter en mistænkelig e-mail, et tabt apparat eller en fejl, uden frygt for bebrejdelser ved en hurtig indberetning. Henvisning til den disciplinære ramme, der gælder i din organisation (ISO/IEC 27001:2022 bilag A, kontrol 6.4 "Disciplinary process", disciplinær proces), samt politikkens dato og version.
Den juridiske fremgangsmåde varierer mellem medlemsstaterne. Det, der ikke varierer, er logikken: lovlig, proportional og kendt på forhånd.
En brugerpolitik beskriver næsten altid behandling af medarbejderes personoplysninger: kontologs, forbindelsesregistreringer, filtrering, enhedsinventarer og til tider adgang til postkasser. Tre artikler i GDPR gælder for denne behandling overalt i Den Europæiske Union.
Artikel 5, principper. Personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde; indsamles til udtrykkeligt angivne, legitime formål; være passende, relevante og begrænset til det nødvendige; opbevares ikke længere end nødvendigt; og behandles med passende sikkerhed. Efter artikel 5, stk. 2, skal den dataansvarlige kunne påvise overholdelse af disse principper (ansvarlighed). For en brugerpolitik betyder det, at hver kontrol, du beskriver, bør have et angivet formål og en rimelig opbevaringsperiode, og at du skal kunne vise, hvorfor den er proportional.
Artikel 13, oplysninger der skal gives. Når oplysninger indsamles hos den berørte person, skal den dataansvarlige blandt andet oplyse sin identitet og kontaktoplysninger, databeskyttelsesrådgiverens kontaktoplysninger, hvis der er en, formålene med og retsgrundlaget for behandlingen, de legitime interesser der forfølges, hvis det er grundlaget, modtagerne, opbevaringsperioden og den berørte persons rettigheder. Brugerpolitikken, eller en oplysningsmeddelelse knyttet til den, er et praktisk middel til at give disse oplysninger.
Artikel 88, behandling i ansættelsesforhold. GDPR giver medlemsstaterne mulighed for ved lov eller kollektive aftaler at fastsætte mere specifikke regler for behandling af medarbejderes personoplysninger i ansættelsesforhold. Artikel 88, stk. 2, kræver, at sådanne regler omfatter passende og specifikke foranstaltninger til at beskytte den menneskelige værdighed, de berørtes legitime interesser og grundlæggende rettigheder, særligt med hensyn til gennemsigtighed i behandlingen, overførsler inden for en koncern og overvågningssystemer på arbejdspladsen. I praksis afhænger svaret på "hvad må vi overvåge, og hvordan?" delvist af det land, du driver virksomhed i.
I hele EU fastsætter direktiv 2002/14/EF en generel ramme for information og høring af arbejdstagere i virksomheder over tærskler, som hver medlemsstat fastsætter inden for direktivets rammer. Den nationale ret og kollektive aftaler afgør derefter, om et samarbejdsudvalg, medarbejderrepræsentanter eller en fagforening skal informeres eller høres, før regler om it-anvendelse eller overvågning af arbejdspladsen indføres, og i hvilken form. I nogle lande er en brugerpolitik knyttet til de interne ordensregler og følger samme procedure; i andre indgår den i ansættelseskontrakten, en kollektiv aftale eller en selvstændig politik, som hver bruger kvitterer for.
Tag Frankrig som ét eksempel blandt mange: Arbejdsloven (Code du travail) bestemmer, at samarbejdsudvalget (CSE) informeres og høres, inden der indføres midler eller teknikker, der gør det muligt at overvåge medarbejdernes aktivitet, og at ingen oplysninger om en medarbejder personligt må indsamles ved et apparat, der ikke først er blevet gjort kendt for medarbejderen. Den franske datatilsynsmyndighed, CNIL, anbefaler i sin vejledning om sikkerhed af personoplysninger, at en virksomhed udarbejder et IT-charter og giver det bindende kraft, for eksempel ved at vedhæfte det til de interne ordensregler. Andre lande har deres egne tilsvarende regler, og derfor spørger workshoppen, hvor dine medarbejdere er ansat, og markerer de punkter, du skal tjekke med din rådgiver.
Uanset den nationale fremgangsmåde skal du gemme dokumentation: politikkens version og dato, datoen for kommunikationen, hvordan den blev kommunikeret (e-mail, intranet, onboarding-pakke, signatur), og hvem der har kvitteret. Kommuniker igen, når politikken ændres. ISO/IEC 27001:2022 bilag A behandler dette som en del af personkontrollerne sammen med ansættelsesvilkår (6.2) og informationssikkerhedsbevidsthed, -uddannelse og -træning (6.3).
Vigtigt. Dette afsnit er generel information om europæiske og nationale tekster. Det er ikke juridisk rådgivning og erstatter ikke analysen fra en arbejdsretsadvokat, en databeskyttelsesrådgiver eller din HR-rådgiver for din konkrete situation, dit land og dine kollektive aftaler.
Kilder: GDPR, art. 5, 13 og 88 (EUR-Lex) · Direktiv 2002/14/EF (EUR-Lex) · Den franske arbejdslov (Légifrance) · CNIL, vejledning om sikkerhed af personoplysninger · ISO/IEC 27001 (iso.org)
Brugerpolitikken er ikke en sikkerhedspolitik i sig selv. Den er den del af den, der taler til brugerne.
Informationssikkerhedspolitikken er skrevet til ledelse og it: den fastsætter mål, roller, risikohåndtering og de kontroller, virksomheden forpligter sig til. Brugerpolitikken oversætter de brugervendte dele til konkret adfærd. ISO/IEC 27001:2022 bilag A adskiller de to: kontrol 5.1 "Policies for information security" (politikker for informationssikkerhed) og kontrol 5.10 "Acceptabel anvendelse af information og andre tilknyttede aktiver". De to dokumenter bør bruge samme begreber, samme klassificering af information og samme kontaktpersoner, så en medarbejder aldrig modtager modstridende instrukser.
Hvis du selv udarbejder sikkerhedspolitikken, se vores søsterside pssi-express.eu.
Fjernarbejde flytter virksomhedens data over på hjemmenetværk, køkkenborde og togsæder. Brugerpolitikken er stedet, hvor du angiver minimumsforventningerne: brug virksomhedens udstyr, hvor det stilles til rådighed, hold det opdateret, forbind via virksomhedens sikre adgang, når det kræves, undgå at printe på offentlige printere, beskyt skærme og samtaler, og indberet tab med det samme. Hvis du også har en særskilt telearbejdsaftale eller -politik, bør brugerpolitikken henvise til den i stedet for at gentage den. ISO/IEC 27001:2022 bilag A, kontrol 6.7 "Remote working" (fjernarbejde), dækker sikkerhedsaspektet.
At tillade private telefoner at modtage virksomhedens e-mail er praktisk og almindeligt. Det rejser også to spørgsmål, som politikken skal besvare. Hvad kræver virksomheden af enheden (skærmlås, understøttet operativsystem, en separat arbejdsprofil eller container)? Og hvad må virksomheden se eller slette? Værktøjer til enhedsadministration kan konfigureres til kun at administrere virksomhedens data; politikken bør sige det og sige, hvad der sker med virksomhedens data, når personen stopper. ISO/IEC 27001:2022 bilag A, kontrol 8.1 "User endpoint devices" (brugerens slutpunktsenheder), danner rammen for den tekniske side.
Offentlige AI-assistenter kan være nyttige, og medarbejdere bruger dem ofte allerede. Risikoen ligger i de data, der indtastes, og i output, der bruges uden gennemgang. Et kort AI-kapitel angiver typisk godkendte værktøjer, forbyder indtastning af personoplysninger, fortrolige oplysninger eller legitimationsoplysninger i ikke-godkendte tjenester, kræver menneskelig gennemgang før genbrug og forklarer, hvordan man anmoder om et nyt værktøj. Hvor en ekstern AI-tjeneste behandler personoplysninger på dine vegne, gælder GDPR-reglerne om databehandlere (artikel 28) og om overførsler uden for EU (kapitel V). Artikel 4 i AI-forordningen, der har været gældende siden 2. februar 2025, beder udbydere og idriftsættere af AI-systemer om at træffe foranstaltninger, der så vidt muligt sikrer et tilstrækkeligt niveau af AI-kompetence hos deres personale (kontroller den gældende konsoliderede tekst, da der er foreslået ændringer til denne artikel). Et AI-kapitel i brugerpolitikken, plus en kort bevidsthedssession, er en rimelig byggesten.
Forordning (EU) 2024/1689 (AI-forordningen) · GDPR, art. 28 og kapitel V
For væsentlige og vigtige enheder under NIS2-direktivet omfatter foranstaltningerne for cybersikkerhedsrisikostyring i artikel 21 grundlæggende cyberhygiejnepraksis og cybersikkerhedsuddannelse (21, stk. 2, litra g) samt personalesikkerhed, adgangskontrolpolitikker og aktivstyring (21, stk. 2, litra i). En brugerpolitik gør dig ikke NIS2-compliant, men den er et af de dokumenter, der understøtter disse foranstaltninger.
En politik, der underskrives og glemmes, ændrer ingenting. Politikken og awareness-programmet bør arbejde sammen: politikken fastsætter reglen, og korte sessioner forklarer hvorfor. Hvor der findes en databeskyttelsesrådgiver, nævner GDPR bevidsthedsskabelse og uddannelse af personale blandt rådgiverens opgaver (artikel 39, stk. 1, litra b). Nationale myndigheder udgiver gratis materiale, du kan genbruge, for eksempel ENISA på EU-niveau og i Frankrig ANSSI og cybermalveillance.gouv.fr.
Du har kontrollen fra start til slut. En menneskelig konsulent er en mulighed, aldrig et krav.
Et kort spørgeskema om din organisation: hvor dine medarbejdere er ansat, hvilke værktøjer de bruger, om private enheder og fjernarbejde er tilladt, om I bruger AI-assistenter, om der findes medarbejderrepræsentanter, og om du allerede har en sikkerhedspolitik. Det fortæller dig, hvilke kapitler du har brug for, og hvilke punkter der kræver lokal juridisk validering.
Du besvarer vejledende spørgsmål med dine egne ord, kapitel for kapitel: hvad der er tilladt, hvad der ikke er, hvad virksomheden kontrollerer og hvorfor, hvor længe logs opbevares, og hvem man kontakter. Hvert spørgsmål har en kort forklaring og, hvor det er relevant, et link til den officielle kilde. Du kan gemme, vende tilbage senere og inddrage en kollega.
Politikken genereres automatisk ud fra dine svar, i din virksomheds navn, med en særskilt oplysningsmeddelelse om overvågning og en kvitteringsformular. Det er et arbejdsgrundlag: få det gennemgået af din egen rådgiver (arbejdsretsadvokat, databeskyttelsesrådgiver, HR), før du kommunikerer det, hør repræsentanter hvor det kræves, og vedtag det.
Hvis du ønsker, at nogen gennemgår dine svar sammen med dig, tilpasser udkastet til en konkret kontekst eller forbereder præsentationen for medarbejderne eller deres repræsentanter, kan du bede en partnerkonsulent om støtte. Dette er valgfrit og adskilt fra selvbetjeningsværktøjet.
Arbejdsgrundlag, ikke juridisk rådgivning. Det genererede dokument er et udkast bygget på dine egne svar og offentlige kilder. Det udgør ikke juridisk rådgivning. Dets gyldighed i dit land og proceduren for at gøre det gældende over for dine medarbejdere skal kontrolleres af en kvalificeret rådgiver.
Dokumenter du kan redigere, kommunikere og gemme som dokumentation
Hoveddokumentet, på klart sprog, bygget ud fra dine svar.
En særskilt meddelelse struktureret efter GDPR artikel 13.
Det du har brug for for at kommunikere politikken og bevare et spor.
Hvor hvert kapitel knytter sig til offentlige tekster.
Et kort, selvstændigt bilag, du kan opdatere oftere end politikken.
Dit dokument forbliver dit, i formater du kan ændre.
Vi henviser kun til tekster, vi kan linke til. Hvor noget afhænger af national ret, siger udkastet det i stedet for at gætte.
Artikel 5 (principper og ansvarlighed), artikel 13 (oplysning til de berørte personer), artikel 88 (behandling i ansættelsesforhold) og, hvor relevant, artikel 28 (databehandlere), artikel 32 (behandlingssikkerhed) og artikel 39 (databeskyttelsesrådgiverens opgaver).
Kontrol 5.10 "Acceptabel anvendelse af information og andre tilknyttede aktiver", med de beslægtede kontroller 5.1 (politikker for informationssikkerhed), 5.11 (tilbagelevering af aktiver), 6.2 (ansættelsesvilkår), 6.3 (bevidsthed, uddannelse og træning), 6.4 (disciplinær proces), 6.7 (fjernarbejde) og 8.1 (brugerens slutpunktsenheder). Standarden sælges af ISO; vi citerer kun kontroltitlerne.
Kun for enheder i anvendelsesområdet: artikel 21, stk. 2, litra g, grundlæggende cyberhygiejnepraksis og cybersikkerhedsuddannelse, 21, stk. 2, litra i, personalesikkerhed, adgangskontrolpolitikker og aktivstyring, 21, stk. 2, litra j, multifaktorgodkendelse. Nationale gennemførelseslove finder anvendelse.
Artikel 4 om AI-kompetence, gældende siden 2. februar 2025 for udbydere og idriftsættere af AI-systemer (kontroller den gældende konsoliderede tekst, før du støtter dig til den). Relevant, så snart dine medarbejdere bruger AI-systemer i deres arbejde.
Hvad hver mulighed indeholder. Tilgængelighed vil blive annonceret på denne side.
For at finde ud af, hvad du har brug for, før du starter
For at udarbejde dit eget udkast til politik
For at tilføje menneskelig gennemgang til selvbetjeningsudkastet
I alle muligheder er dokumentet et arbejdsgrundlag, der skal godkendes af din egen rådgiver. Det udgør ikke juridisk rådgivning.
Korte svar. Hvor en tekst er citeret, går linket til den officielle kilde.
Hver regulatorisk eller normativ påstand ovenfor linker til en af disse.
Denne side giver generel information. Den udgør ikke juridisk rådgivning.
Workshoppen i selvbetjening er under forberedelse. Den åbner på denne side.
Spørgsmål i mellemtiden: contact@syaga.eu