Akkreditering af IT-systemer: Hvad bør leverandører til forsvarsmyndigheder være opmærksomme på?

Den markante oprustning af forsvarsområdet i Danmark og resten af Europa skaber nye muligheder for virksomheder, der ønsker at levere produkter, teknologier og services til forsvarsmyndigheder. Men med mulighederne følger også en række regulatoriske krav, som mange virksomheder først møder sent i processen.

Et af de områder, der får stigende betydning, er akkreditering af IT-systemer til håndtering af klassificerede oplysninger. For virksomheder, der arbejder med forsvar, sikkerhed eller kritisk infrastruktur, kan manglende forståelse for disse krav blive en væsentlig barriere for at kunne deltage i projekter eller indgå kontrakter med offentlige myndigheder.

Klassificerede oplysninger og sikkerhedscirkulæret

Grundlaget for akkreditering af IT-systemer findes i Justitsministeriets sikkerhedscirkulære, som fastsætter reglerne for håndtering af klassificerede oplysninger.

Efter sikkerhedscirkulæret kan oplysninger klassificeres på fire niveauer afhængigt af de konsekvenser, en kompromittering vil kunne få:

• YDERST HEMMELIGT
  Informationer, hvis uautoriserede videregivelse vil kunne forvolde Danmark eller landene i NATO eller EU overordentlig alvorlig skade.
• HEMMELIGT
  Informationer, hvis uautoriserede videregivelse vil kunne forvolde Danmark eller landene i NATO eller EU alvorlig skade.
• FORTROLIGT
  Informationer, hvis uautoriserede videregivelse vil kunne forvolde Danmark eller landene i NATO eller EU skade.
• TIL TJENESTEBRUG
  Informationer, der ikke må offentliggøres eller komme uvedkommende til kendskab.

Det bemærkes, at disse klassifikationsgrader anvendes uafhængigt af det generelle fortrolighedsbegreb i straffelovens § 152. Der er således ikke nødvendigvis sammenfald mellem, hvad der efter sikkerhedscirkulæret klassificeres som fortroligt, og hvad der efter straffeloven anses for fortroligt.

For leverandører er det afgørende at forstå, hvilket klassifikationsniveau deres løsninger forventes at understøtte, da kravene til dokumentation, sikkerhedsforanstaltninger og myndighedsgodkendelse stiger i takt med klassifikationsniveauet.

Sikkerhedscirkulæret udgør rammen for klassificering

Sikkerhedscirkulæret er en intern statslig forskrift og ikke en lov eller bekendtgørelse. Reglerne finder derfor alene direkte anvendelse for staten og dens ansatte og regulerer statens beskyttelse af klassificerede oplysninger.

Cirkulæret fastsætter blandt andet, at Politiets Efterretningstjeneste (PET) er national sikkerhedsmyndighed. Inden for Forsvarsministeriets område varetager Forsvarets Efterretningstjeneste (FE) denne funktion.

FE er samtidig national IT-sikkerhedsmyndighed uden for Justitsministeriets område, mens PET varetager rollen inden for Justitsministeriets område. Det betyder, at det er FE, der har ansvaret for akkreditering af IT-systemer, der skal anvendes til behandling af klassificerede oplysninger i forbindelse med opgaver for eksempelvis Forsvaret.

Sikkerhedsgodkendelse af personer

Kravene vedrører ikke alene de tekniske systemer.

Klassificerede oplysninger må kun deles med personer, der er sikkerhedsgodkendt til at behandle oplysninger på det relevante klassifikationsniveau. Kravene til sikkerhedsgodkendelse af individer går derfor hånd i hånd med kravene til akkreditering af de systemer, som oplysningerne behandles i.

Hvad indebærer akkreditering?

Parallelt med kravene til sikkerhedsgodkendelse af personer stiller sikkerhedscirkulæret en række krav til de IT-systemer, der skal behandle klassificerede oplysninger.

For systemer, der skal håndtere oplysninger klassificeret som YDERST HEMMELIGT, kræves der i hvert enkelt tilfælde en særskilt tilladelse fra den nationale IT-sikkerhedsmyndighed.

Alle elektroniske informationssystemer, der skal behandle informationer klassificeret som HEMMELIGT eller FORTROLIGT, skal akkrediteres af den nationale IT-sikkerhedsmyndighed.

Derudover gælder blandt andet følgende krav:

• Tilkobling af eksterne elektroniske informationssystemer til interne systemer, der indeholder klassificerede oplysninger, kræver godkendelse.
• Nye softwareversioner til sikkerhedsgodkendte informationssystemer skal godkendes af den nationale IT-sikkerhedsmyndighed før ibrugtagning.

Akkreditering omfatter således ikke blot det oprindelige system, men også senere ændringer og integrationer.

NATO's krav og Common Criteria

Danmarks medlemskab af NATO har også betydning for akkrediteringsområdet.

Et centralt element er NATO's Common Criteria (CC), som fastlægger krav til IT-sikkerheden for produkter og systemer.

Common Criteria omfatter:

• Funktionelle krav, der definerer den ønskede sikkerhedsadfærd.
• Sikringskrav, som danner grundlag for tillid til, at de implementerede sikkerhedsforanstaltninger er effektive og korrekt implementeret.

Den danske akkrediteringsproces omfatter i relevant omfang en vurdering efter Common Criteria.

Akkrediteringsprocessen

Sikkerhedscirkulæret indeholder omfattende krav til systemer, der skal behandle klassificerede oplysninger. Samtidig er kravene tæt knyttet til godkendelses- og tilladelsesprocesser hos den nationale IT-sikkerhedsmyndighed.

Disse forhold har gennem en længere periode medført betydelig sagsophobning og forlængede sagsbehandlingstider i akkrediteringssager.

For at styrke området afsatte regeringen i juni 2025 yderligere midler til håndtering af akkrediteringer og sikkerhedsgodkendelser på tværs af Forsvarsministeriets koncern. Formålet er blandt andet at nedbringe den gennemsnitlige sagsbehandlingstid for både sikkerhedsgodkendelser og akkrediteringer for medarbejdere i forsvarsindustrien og Forsvarsministeriets koncern.

Hvad betyder det for leverandører til forsvarsindustrien?

For virksomheder er akkrediteringsprocessen typisk både grundig og detaljeret.

Processen vil ofte omfatte:

• Forhåndsvurdering af virksomhedens dokumentation og systemer
• Detaljeret evaluering, herunder vurderinger af systemer og processer
• Verifikation og opfølgning på eventuelle mangler
• Akkreditering, når de relevante krav er opfyldt

Virksomheder bør samtidig være opmærksomme på en række forhold, der kan påvirke processen:

• Omkostninger forbundet med vurderinger og kravsefterlevelse
• Længere sagsbehandlingstider
• Komplekse krav til dokumentation og sikkerhed
• Forskelle mellem nationale krav og forventninger på tværs af markeder

DLA Pipers rådgivning på området

Akkrediteringsprocesser og udbud på forsvarsområdet adskiller sig på en række punkter fra traditionelle godkendelses- og udbudsforløb. Derfor kan det være afgørende at søge rådgivning tidligt i processen med henblik på at skabe overblik over kravene og planlægge det videre forløb.

DLA Piper rådgiver danske og internationale virksomheder om blandt andet akkrediteringsforløb, sikkerhedsgodkendelser, selskabsetablering, samarbejdsaftaler og udbudsprocesser på forsvarsområdet.

DLA Piper bistår desuden virksomheder med spørgsmål om modkøbsforpligtelser, kontakt til relevante samarbejdspartnere og underleverandører samt rådgivning om krav i andre EU- og NATO-lande gennem firmaets internationale netværk.

Herudover har DLA Pipers rådgivere erfaring fra Forsvarets Efterretningstjeneste og bistår virksomheder, der ønsker overblik over akkrediteringsprocessen eller arbejder med produkter og systemer, der skal anvendes i forbindelse med forsvarsprojekter og forsvarsudbud.