CIS18 for ejerledere: de tre kontroller dit aktivregister løser
Din IT-rådgiver peger måske på CIS18, når talen falder på sikkerhed. Men hvor begynder du? Svaret er det samme som ved enhver risikovurdering: du skal vide, hvad du har. Her er de tre CIS-kontroller, et softwareregister løser.
22. maj 2026 · 7 min. læsning · Jacob Lysholt
Artiklen
Flere og flere ejerledere får den samme anbefaling fra deres IT-rådgiver eller fra erhvervshusenes konsulenter: kig på CIS18. Det er en god anbefaling. CIS18 er en af de mest anerkendte og praktiske rammer for cybersikkerhed, der findes.
Men for en ejerleder uden en IT-afdeling rejser anbefalingen et nyt spørgsmål: 18 kontroller, hvor begynder jeg?
Svaret er enklere, end det lyder. Du begynder samme sted, som enhver god risikovurdering begynder: med at vide, hvad du har.
Hvad er CIS18?
CIS Controls version 8.1, i daglig tale CIS18, er 18 prioriterede sikkerhedskontroller udgivet af Center for Internet Security, en anerkendt nonprofitorganisation. Hvor lovgivning som NIS2 fortæller dig, hvad du skal opnå, fortæller CIS18 dig, hvordan du kommer derhen i praksis.
Kontrollerne er grupperet i tre niveauer. De grundlæggende kontroller, nummer 1 til 6, dækker den basale cyberhygiejne. De funderende kontroller, nummer 7 til 16, dækker mere tekniske foranstaltninger som sårbarhedsstyring og netværksovervågning. De organisatoriske kontroller, nummer 17 og 18, dækker beredskab og test.
CIS har desuden inddelt de 153 konkrete tiltag i tre implementeringsgrupper. Implementation Group 1, forkortet IG1, er de 56 mest grundlæggende tiltag, som enhver virksomhed bør have på plads, uanset størrelse. For en ejerledet SMV er det her, arbejdet begynder.
De tre kontroller, et softwareregister løser
Når du ser på de grundlæggende kontroller, opdager du noget: tre af dem handler ikke om avanceret teknologi. De handler om at have styr på en liste over din software, dine konti og dine adgange.
**Kontrol 2: fortegnelse over software.** Du skal have et overblik over alle de systemer og tjenester, virksomheden bruger: CRM, økonomi, løn, hosting, mail og alle abonnementer. Det er her, mange virksomheder opdager, at de betaler for software, ingen længere bruger, eller at en tjeneste håndterer kundedata, uden at nogen har vurderet risikoen.
**Kontrol 5: styr på brugerkonti.** Du skal vide, hvilke konti der findes, hvem de tilhører, og hvilke der stadig er aktive. Den hyppigste fejl er konti, der bliver stående, efter en medarbejder er stoppet.
**Kontrol 6: kontrol over adgang.** Du skal kunne svare på, hvem der har adgang til hvad, og hvem der har administratorrettigheder til de kritiske systemer. Det er forudsætningen for at kunne lukke en adgang hurtigt, når det bliver nødvendigt.
Læg mærke til, hvad de tre kontroller har til fælles. De starter alle med en fortegnelse. Ikke med et stykke avanceret sikkerhedssoftware, men med en struktureret liste over, hvilke systemer du har, og hvem der har adgang til dem.
Hvorfor fortegnelsen kommer først
Det er fristende at springe direkte til de tekniske kontroller: antivirus, firewalls, sårbarhedsscanning. Men CIS har bevidst placeret fortegnelserne tidligt, før alt det andet.
Logikken er enkel. Antivirus på de computere, du kender til, hjælper ikke mod den bærbare, ingen har registreret. En adgangspolitik dækker ikke det system, du har glemt, at I abonnerer på. Hver eneste senere kontrol bygger på, at du ved, hvad der skal beskyttes.
Derfor er fortegnelsen ikke det kedelige forarbejde, du skal overstå, før det rigtige sikkerhedsarbejde begynder. Fortegnelsen er det rigtige sikkerhedsarbejde, der gør resten muligt.
CIS18 og NIS2: hvordan hænger de sammen?
For mange virksomheder er en risikovurdering blevet et lovkrav under NIS2. Men NIS2 beskriver primært, hvad virksomheden skal opnå: risikostyring, hændelseshåndtering og dokumentation af digitale aktiver og leverandører.
Loven beskriver ikke i detaljer, hvordan du gør det. Det er her, CIS18 kommer ind. Rammen er den praktiske oversættelse af lovens krav til konkrete tiltag, du kan sætte i gang. Mange danske IT-rådgivere bruger netop CIS18 som vejen til at opfylde de tekniske krav i NIS2.
Det betyder, at de tre kontroller, vi har gennemgået, ikke bare er god praksis. For et voksende antal virksomheder er de en del af det dokumentationskrav, ledelsen kan blive holdt ansvarlig for at opfylde.
Hvor begynder du?
Begynd med Implementation Group 1 og de grundlæggende kontroller. Konkret betyder det tre ting.
Lav en liste over al software og alle abonnementer, virksomheden betaler for. Skab et overblik over, hvilke brugerkonti der findes, og hvem de tilhører. Og dokumentér, hvem der har adgang til hvad, herunder administratorrettigheder til de kritiske systemer.
Det er ikke et projekt, der kræver en konsulent fra dag ét. For en virksomhed med 10 til 50 ansatte er det en opgave på en halv til en hel dag, hvis du har det rigtige værktøj til at samle det ét sted.
CIS18 med Ejerblik
Ejerblik er bygget til netop den fortegnelse, de tre kontroller kræver. Aktivregistret dækker kontrol 2: al software, systemer og abonnementer, med ejer og ansvarlig pr. aktiv. Medarbejderkartoteket dækker kontrol 5: hvilke personer der er knyttet til hvilke konti. Og dokumentationen af adgange, administratorrettigheder og 2-faktor-status dækker kontrol 6.
Du kan også registrere dine leverandører pr. aktiv, hvilket er fundamentet for CIS-kontrol 15 om leverandørstyring, et område NIS2 lægger stor vægt på.
Ejerblik dækker derimod ikke kontrol 1 om hardware- og enhedsinventar. Det er en separat disciplin med egne værktøjer. Ejerblik løser de software-, konto- og adgangsfortegnelser, der udgør kontrol 2, 5 og 6, og som for de fleste ejerledede virksomheder er præcis det fundament, der mangler i dag.
Ejerblik implementerer ikke de tekniske foranstaltninger i kontrollerne. Vi tvinger ikke 2-faktor-godkendelse igennem og scanner ikke for sårbarheder. Det er en IT-sikkerhedspartners arbejde. Ejerblik leverer fortegnelsen og dokumentationen, der er forudsætningen for, at kontrollerne overhovedet kan opfyldes, og som giver din IT-rådgiver et langt bedre udgangspunkt at arbejde ud fra.
For de fleste ejerledede virksomheder er det komplette, opdaterede aktivregister præcis det fundament, der mangler i dag. Det er det fundament, en IT-risikovurdering og resten af CIS-kontrollerne bygger på.
Kom i gang gratis og læg fundamentet på plads inden for en arbejdsdag.
Læs også
- AI som ny trussel i digital due diligenceI juni 2026 blev AI-modeller med offensive cyberevner så stærke, at myndighederne greb ind. Her er, hvad det betyder for din virksomheds digitale sårbarhed, og hvor du begynder.
- IT-risikovurdering: hvad det er, hvem der skal stå for det, og hvordan du kommer i gangEn IT-risikovurdering handler ikke om teknisk ekspertise. Den handler om at vide, hvad du har, hvad det er værd for din virksomhed, og hvad der sker, hvis du mister det. Her er en praktisk gennemgang for ejerledere.
- AI Act for ejerledere: hvad der allerede gælder, hvad der ventes, og hvad du skal have styr påEU har udskudt reglerne for højrisiko-AI til december 2027. Men forbud og uddannelseskrav er allerede trådt i kraft. Her er, hvad AI Act konkret betyder for din virksomhed, og hvad du bør dokumentere nu.
- Hvem ejer egentlig dine digitale aktiver?Virksomheden bruger det. Virksomheden betaler for det. Men ejer virksomheden det? For digitale aktiver er juridisk ejerskab ikke det samme som daglig brug. Her er de områder, det oftest går galt.
- Shadow IT: hvad det er, og hvad det koster din virksomhedShadow IT er digitale systemer, medarbejdere bruger uden ledelsens viden. Det er ikke ondsindet. Det er pragmatisk. Men det behandler data, koster penge og udgør risici, som virksomheden aldrig har vurderet.
- Hvad sker der digitalt, den dag nøglepersonen stopper?Mange virksomheder har én person, der "har styr på IT". Når hun stopper, viser det sig, at hun ikke blot havde styr på IT. Hun havde adgangen til det. Her er, hvad du bør have dokumenteret, inden det sker.
- Cyberforsikring: derfor afgør din dokumentation, hvad du får udbetaltCyberforsikring er ikke en standardforsikring. Hvad du kan dokumentere om din IT-infrastruktur og adgangsstyring påvirker direkte, hvilken dækning du kan tegne, og hvad forsikringsselskabet udbetaler, hvis skaden sker.
- Hvornår har din virksomhed brug for en IT-revision?En IT-revision er ikke kun relevant for store virksomheder eller dem, der skal sælge. Her er de fem situationer, hvor en systematisk gennemgang af dine digitale systemer giver konkret forretningsmæssig mening.
- 12 måneder til generationsskifte: hvad skal det digitale se ud?Et generationsskifte forberedes typisk over 2–5 år. Det digitale er den del, der oftest efterlades til sidst og bliver det, der forsinker. Her er en 12-måneders køreplan for det digitale.
- Hvad er digital due diligence?Digital due diligence er gennemgangen af en virksomheds digitale aktiver, IT-systemer og teknologiske infrastruktur ved salg, investering eller generationsskifte. Det er ikke en IT-opgave. Det er en forretningsopgave.
- Sådan forbereder du digital due diligence på 30 dageEn struktureret 30-dages plan til ejerledere, der vil have styr på virksomhedens digitale aktiver inden et salg, et generationsskifte eller en investorrunde. Uge for uge.
- De mest oversete digitale aktiver i en SMV40 % af danske SMV'er mangler et digitalt sikkerhedsniveau svarende til deres faktiske risikoprofil. En stor del af forklaringen er aktiver, ingen har registreret. Her er de hyppigste.
- IT-revision: hvad det er, hvad det koster, og hvem der har brug for detEn IT-revision er en systematisk gennemgang af, hvad din virksomhed bruger af digitale systemer, og om du ejer, dokumenterer og kontrollerer dem ordentligt. Det er ikke kun for store virksomheder.
- GDPR og digitale aktiver: det du skal kunne dokumentereGDPR handler ikke kun om cookies. For en ejerledet virksomhed handler det om, at du kan dokumentere, hvilke systemer der behandler personoplysninger, hvem der har adgang, og hvornår data slettes.
- Hvad er en databog, og hvem har brug for en?"Databog" er ikke et lovfæstet begreb. Det er et praktisk redskab, der samler den dokumentation om virksomhedens digitale systemer, som revisor, advokat og køber beder om, når noget sættes i spil.
- Digitalt generationsskifte: 12 ting der skal være på plads inden overdragelsenEn analyse af mere end 2.000 danske ledelsesskifter viser, at tidlig forberedelse styrker performancen med 6,31 procentpoint. Det digitale er den del af forberedelsen, der oftest overses.
- PwC's Ejerlederanalyse 2025: Rekordmange er åbne for salg84 % af ejerlederne er åbne for at sælge. 81 % er allerede blevet kontaktet. PwC's analyse tegner billedet af et marked i bevægelse. Er du forberedt?
- Tre ud af fire SMV'er betaler mere for forsikringTre ud af fire SMV'er har oplevet stigende forsikringspriser det seneste år. I visse brancher er stigningerne på over 20 %. Den vigtigste imødekomst er at kende sin egen risikoprofil.
- 172.000 sønner og døtre af ejerledere venter på at overtageEn dansk kortlægning fra 2023 sætter for første gang præcise tal på en generation, som mange ejerledere tænker på, men sjældent taler åbent om: hvad sker der med virksomheden, når du ikke længere er der?
- Kunstig intelligens er endnu ikke hverdag i danske SMV'erTo tredjedele af danske SMV'er har taget kunstig intelligens i brug. Men de fleste bruger det til rutineopgaver. Den strategiske anvendelse venter stadig på at blive grebet.
- Byg det selv eller køb det færdigt? Et regnestykke, der sjældent går opKunstig intelligens har gjort det nemmere at sætte en løsning op selv. Det er ikke det samme som, at det er en god idé. Hvad koster de timer egentlig, hvad enten de bruges af dig eller dine medarbejdere?
- Derfor koster Ejerblik, hvad det gørDu kan komme gratis i gang med Ejerblik. Den fulde pakke koster 595 kr. om måneden. Det er sandsynligvis mindre, end du betaler for én brugerplads i dit regnskabsprogram.
- Hvorfor Ejerblik er bedre end et regnearkEt regneark kan registrere data, men det kan ikke hjælpe dig med at handle på dem. Her er de vigtigste forskelle, og tre scenarier der viser dem tydeligt.
- Vigtigheden af ejerskab og overblik over digitale aktiverMange ejerledere opdager først, hvem der ejer virksomhedens digitale aktiver, når noget går galt. Digitalt ejerskab er ikke et IT-spørgsmål. Det er et forretningsspørgsmål.
- Fremtidens krav til data governance, dokumentation og databogGDPR, AI Act og stigende krav fra investorer og revisorer gør data governance til et strategisk emne for alle ejerledede virksomheder. Sådan forbereder du din virksomhed.
- Sælger du din virksomhed inden for fem år? De fleste starter forberedelserne for sent14 % af ejerlederne forventer at sælge til eksterne, og 29 % er endnu uafklarede. Redmarks undersøgelse af 823 ejerledere viser, at salgsønsket typisk opstår, efter at væksten er stagneret, ikke mens virksomheden er på sit stærkeste.
- 2 ud af 3 ejerledere bruger AI. Halvdelen har ingen plan for detNæsten to tredjedele af ejerlederne bruger allerede kunstig intelligens i virksomheden, men kun halvdelen har en strategi for det. PwC's Ejerlederens agenda 2026 viser, at AI bruges bredt til administrative opgaver, men sjældent strategisk.
- Er din virksomhed for afhængig af dig? Det mener 4 ud af 10 ejerledere om sig selvPwC's Ejerlederens agenda 2026 viser, at bedre struktur og mindre personafhængighed er det, der ville have størst positiv effekt på ejerledernes virksomheder. Men personafhængighed er ikke kun et ledelsesproblem. Det er et dokumentationsproblem.
- Tallene er klare: ejerledere med en strategi vokser mere. Hvad stopper dig?Redmarks Ejerlederundersøgelse 2025 dokumenterer en statistisk sammenhæng: jo højere strategisk modenhed, desto stærkere vækst. Alligevel befinder over halvdelen af ejerlederne sig på de to laveste niveauer.
- 4 ud af 10 ejerledere bruger for meget tid på administration. Her er, hvad du kan gøre nu40 % af ejerlederne oplever administrative opgaver som en byrde i høj eller meget høj grad. 38 % mener, at indberetnings- og compliancekrav hæmmer konkurrenceevnen. PwC's Ejerlederens agenda 2026 sætter tal på et problem, mange har accepteret som et vilkår.
- 77 % af de adspurgte ejerledere er over 50. Er din virksomhed klar til at skifte hænder?I Redmarks undersøgelse af 823 ejerledere er 77 % over 50 år, og 29 % er stadig uafklarede om fremtidigt ejerskab. Undersøgelsen tegner billedet af en gruppe, der nærmer sig et ejerskifte, uden at forberedelsen er begyndt.
- SaaS management for ejerledere: hvad det er, og hvorfor du sandsynligvis betaler for mere, end du brugerDe fleste ejerledere kan ikke på stående fod sige, nøjagtigt hvor mange softwareabonnementer deres virksomhed betaler for. Det er et problem med et navn: manglende SaaS management. Her er, hvad det betyder i praksis.
- Næsten 6 ud af 10 virksomheder har ikke testet deres cyberforsvar. Hvad med din?itm8's Cyber Security Survey 2025/2026 viser, at 58 % af virksomhederne ikke har testet deres forsvar det seneste år, og at den hyppigste årsag til cyberangreb er manglende viden om egne systemer. Her er, hvad det betyder for ejerlederen.
- Asset management for digitale aktiver: få overblik, før køberen spørgerAsset management kender du fra maskiner og anlæg. Få samme styr på dine digitale aktiver, så du står stærkt, når en køber eller rådgiver beder om dokumentationen.
- Digital suverænitet: du kan ikke forhandle om noget, du ikke kenderDigital suverænitet lyder som et emne for ministerier og koncerner. Men spørgsmålet er det samme i en virksomhed med 20 ansatte, og svaret er en liste.
Klar til at kortlægge din virksomheds digitale aktiver?
Ejerblik guider dig trin for trin med 205+ foruddefinerede aktivtyper og AI-funktionen Kontoscanner.
Ingen binding · Data i EU · Dansk support