Fejl, aftalevilkår, GDPR og officielle kilder
NIS2 og it-sikkerhed i CRM: adgang, to-faktor og leverandørstyring
Hvad NIS2-loven (lov nr. 434 af 2025) betyder for små virksomheder og deres CRM, og hvilke sikkerhedsindstillinger og kontraktkrav enhver bør have styr på.
NIS2-loven (lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau) trådte i kraft 1. juli 2025 og stiller krav om risikostyring, sikkerhedsforanstaltninger og hændelsesrapportering til virksomheder i bestemte sektorer og over bestemte størrelser. De fleste helt små virksomheder er ikke direkte omfattet – men mange er leverandører til virksomheder, der er, og skal derfor kunne dokumentere god sikkerhed. Og uanset NIS2 er CRM'et et af de mest værdifulde systemer at beskytte: det indeholder hele jeres kundeliste. Minimum er to-faktor-login for alle, personlige brugere med roller, hurtig lukning af adgang, når medarbejdere stopper, og kontrol med leverandøren.
Guiden hører under CRM-fejl og officielle kilder. Indholdet er generel information, ikke juridisk rådgivning.
Er jeres virksomhed omfattet af NIS2?
NIS2 bygger på EU's direktiv og omfatter virksomheder i sektorer som energi, transport, sundhed, digital infrastruktur, visse fremstillingsvirksomheder, fødevarer, affald og digitale tjenester (lovens bilag 1 og 2). Som hovedregel er kun mellemstore og store virksomheder omfattet: en "vigtig enhed" har mindst 50 ansatte eller både en årlig omsætning og en årlig balance på over 10 mio. euro (§ 5). En "væsentlig enhed" har mindst 250 ansatte eller en omsætning på over 50 mio. euro og en balance på over 43 mio. euro (§ 4). Nogle typer er omfattet uanset størrelse, fx DNS-tjenesteudbydere og tillidstjenesteudbydere. Enheder, der er omfattet af de særlige love for energi- og telesektoren, og visse finansielle virksomheder er undtaget fra NIS2-loven og følger deres egne regler (§ 1, stk. 2).
Sådan finder I ud af det:
- Tjek, om jeres aktivitet hører til en af sektorerne i lovens bilag.
- Tjek størrelsen: antal ansatte, omsætning og balance (se ovenfor).
- Læs vejledningen fra Styrelsen for Samfundssikkerhed og den relevante sektormyndighed.
Er I omfattet, skulle registreringsoplysninger efter loven være indsendt senest 1. oktober 2025 (§ 33, stk. 3). Er I i tvivl, så kontakt sektormyndigheden eller en rådgiver.
Hvis I er leverandør til en NIS2-virksomhed
Omfattede virksomheder skal styre risici i deres forsyningskæde. Er I leverandør, kan kunden kræve:
- dokumentation for jeres sikkerhedsforanstaltninger,
- to-faktor-login på systemer med kundedata,
- underretning ved sikkerhedshændelser,
- kontrol med jeres egne leverandører – fx jeres CRM.
Et velkonfigureret CRM med dokumenteret leverandør er derfor også et salgsargument.
Sikkerhedsindstillinger i CRM'et
| Indstilling | Hvorfor | Hvor du finder den |
|---|---|---|
| To-faktor-login (MFA) for alle | Beskytter mod stjålne adgangskoder | Administrator → sikkerhed |
| Single sign-on (SSO) | Én central adgang, nem at lukke | Ofte i dyrere pakker |
| Personlige brugere, ingen deling | Sporbarhed og ansvar | Brugeradministration |
| Roller og rettigheder | Sælgere ser kun det nødvendige; kun få kan eksportere | Roller/profiler |
| Begrænset eksport | Hindrer at hele kundelisten tages med | Rettigheder |
| Revisionslog | Hvem har set, ændret, eksporteret | Ofte i mellem- eller toppakke |
| IP- eller enhedsbegrænsning | Kun adgang fra godkendte enheder | Ofte i toppakke |
| API-nøgler med mindste rettigheder | Integrationer kan ikke alt | Integrationer |
Pris: Flere sikkerhedsfunktioner (SSO, revisionslog, avancerede roller) ligger i de dyrere pakker. Tag dem med i kravlisten, hvis I har brug for dem – fx fordi en kunde kræver det. Se prismodeller: pr. bruger, pakker og tilføjelser.
Rutine: når en medarbejder stopper
- Luk CRM-adgangen senest samme dag.
- Overfør ejerskab af leads, aftaler og opgaver til en kollega.
- Fjern adgang til integrationer og API-nøgler, medarbejderen har oprettet.
- Tjek revisionsloggen for store eksporter de seneste uger.
- Husk, at licensen kan frigøres – og spar pengene.
Leverandørstyring
Spørg CRM-leverandøren og skriv svarene ned:
- Hvor ligger data, og hvem har adgang (support, underleverandører)?
- Har leverandøren uafhængige revisionserklæringer eller certificeringer for informationssikkerhed?
- Hvor hurtigt underrettes I ved en hændelse?
- Hvordan er backup og gendannelse – og kan I selv lave en eksport?
- Hvad står der i SLA om oppetid og support? Se aftalevilkår, opsigelse og dataeksport.
Egen backup: en eksport om måneden
Selv om leverandøren tager backup, så tag en regelmæssig eksport af jeres vigtigste data (kontakter, virksomheder, aftaler, aktiviteter). Opbevar den sikkert og krypteret med begrænset adgang – det er også personoplysninger. Det beskytter mod fejl, sletning ved et uheld og leverandørproblemer.
Phishing og kontoovertagelse
Den mest almindelige vej ind er en stjålet adgangskode. Med to-faktor-login er en stjålen adgangskode alene ikke nok. Uddan sælgerne i at genkende falske login-sider og mails, der "kræver" at de logger ind. SikkerDigital har gratis materiale til små virksomheder.
Hændelser og GDPR
Bliver CRM'et kompromitteret, er det ofte også et brud på persondatasikkerheden, der skal anmeldes til Datatilsynet. Er I omfattet af NIS2, kan der også være en rapporteringspligt efter NIS2-loven. Hav en kort plan for, hvem der gør hvad. Se GDPR og databehandleraftale og typiske fejl ved CRM-indførelse.
Minimumspakke for en lille virksomhed
Uanset om I er omfattet af NIS2, er dette en realistisk minimumspakke for CRM'et:
| Område | Minimum | Tid at indføre (illustrativt) |
|---|---|---|
| Login | To-faktor for alle brugere | 1 time |
| Brugere | Personlige logins, ingen delte konti | 1 time |
| Rettigheder | Kun systemejer og leder kan eksportere og slette i stor skala | 2 timer |
| Ophør | Fast rutine, når en medarbejder stopper | 1 time at beskrive |
| Backup | Månedlig eksport, opbevaret sikkert | 1 time pr. måned |
| Leverandør | Svar på sikkerhedsspørgsmål gemt sammen med kontrakten | 2 timer |
Med en timeværdi på 400 kr. koster opsætningen illustrativt 7 × 400 = 2.800 kr. plus 12 × 400 = 4.800 kr. om året til den månedlige eksport – en lille pris i forhold til et tabt kundekartotek.
Ofte stillede spørgsmål
Er en lille virksomhed med 8 ansatte omfattet af NIS2?
Som hovedregel ikke, medmindre virksomheden er i en sektor eller type, der er omfattet uanset størrelse. Men kunder, der er omfattet, kan stille sikkerhedskrav i kontrakten.
Er to-faktor-login gratis i CRM-systemer?
Grundlæggende to-faktor-login er med i de fleste systemer. Single sign-on og avanceret logning er oftere forbeholdt dyrere pakker.
Hvem kan hjælpe med it-sikkerhed?
SikkerDigital og Styrelsen for Samfundssikkerhed har vejledninger. Ved større behov kan en it-sikkerhedsrådgiver hjælpe.
Kilder
- Retsinformation – NIS2-loven, lov nr. 434 af 6. maj 2025
- Styrelsen for Samfundssikkerhed – vejledning om NIS2 og cybersikkerhed
- SikkerDigital – praktisk it-sikkerhed for virksomheder
- Datatilsynet – anmeldelse af brud på persondatasikkerheden
