ACPO‑principperne: fire grundregler for digitale beviser

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ACPO-principperne er fire korte grundregler for håndtering af digitale beviser: Data, der kan blive brugt som bevis, må ikke ændres; hvis originale data skal tilgås, skal det ske af en kompetent person, der kan forklare konsekvenserne; alle handlinger skal registreres, så en uafhængig kan gentage dem; og én person har det samlede ansvar for, at reglerne følges. De er gamle, men de bruges stadig som en kortfattet formulering af god praksis, også i civile sager og interne undersøgelser.

De nyere standarder, som principperne i dag suppleres af, er gennemgået i ISO/IEC 27037 og NIST SP 800-86 forklaret.

Oprindelse

Principperne stammer fra en britisk vejledning om digitale beviser, udgivet af den daværende sammenslutning af ledende politichefer, Association of Chief Police Officers (ACPO), for England, Wales og Nordirland. Den seneste udgave er version 5 fra marts 2012. ACPO blev nedlagt i 2015 og afløst af National Police Chiefs’ Council (NPCC). Vejledningen blev skrevet til en bestemt sammenhæng, men de fire principper er formuleret så generelt, at de er blevet en fælles reference i faget, også uden for det offentlige og uden for Storbritannien.

Her bruges principperne alene som udtryk for generel god praksis i civile sager og interne undersøgelser. Gengivelsen nedenfor er en dansk omskrivning, ikke en oversættelse.

De fire principper

1. Data må ikke ændres

Ingen handling må ændre data, der kan blive brugt som bevis. I praksis betyder det skrivebeskyttelse ved sikring af lagermedier, arbejde på kopier og ikke på originaler, og forsigtighed med at tænde, starte eller åbne noget på en enhed, der skal sikres. Skrivebeskyttelse er beskrevet i skrivebeskyttere, og princippet om arbejdskopier i arbejdskopier og masterkopi.

2. Adgang til originalen kræver kompetence og forklaring

Når det er nødvendigt at arbejde direkte på de originale data, fx på et tændt system, skal det ske af en person, der har kompetencen til det, og som kan forklare, hvad handlingerne betyder for beviset. Princippet anerkender, at det første princip ikke altid kan overholdes, og flytter vægten fra “ingen ændring” til “ændringer, der er forstået og kan forklares”.

3. Alt registreres, så det kan gentages

Der skal være en registrering af alle processer, der er anvendt på beviset, og en uafhængig tredjepart skal kunne gentage dem og nå samme resultat. Det er princippet bag arbejdsnoter, kæde af ansvar (chain of custody), hashværdier og noterede værktøjsversioner.

4. Én har det samlede ansvar

Den, der leder undersøgelsen, har ansvaret for, at lovgivning og principper overholdes. I en civil undersøgelse betyder det, at der skal være en navngiven person, der står inde for helheden, og ikke kun en række teknikere, der hver har udført en del.

Holder de i dag?

Principperne blev formuleret, da de fleste beviser lå på harddiske, der kunne tages ud og kopieres. Moderne teknologi udfordrer især det første princip:

Mobiltelefoner · Et udtræk kræver, at telefonen er tændt og kommunikerer med værktøjet, hvilket ændrer data på enheden
Tændte computere · Sikring af hukommelse og krypterede drev kræver handlinger på det kørende system
Cloudtjenester · Data findes kun hos tjenesten og kan kun hentes via dens egne eksportfunktioner
SSD’er · Disken kan selv slette data internt, uafhængigt af styresystemet
Servere i drift · Kritiske systemer kan ikke lukkes ned for at blive kopieret

I alle disse tilfælde ændres der noget. Det betyder ikke, at principperne er forældede. Det betyder, at princip 2 og 3 bærer en større del af vægten. Når en ændring er uundgåelig, skal den være nødvendig, foretaget af en kompetent person, forstået og dokumenteret. Se live response.

Ændring er ikke det samme som kontaminering

En vigtig pointe er forskellen mellem en kendt og en ukendt ændring. Et mobiludtræk ændrer nogle logfiler på telefonen, men det er kendt, hvilke, og det kan skilles fra de data, der er relevante. En IT-medarbejder, der åbner filer på en mistænkt computer for at “se, om der er noget”, ændrer tidsstempler og efterlader spor, der ikke er registreret, og som kan blandes sammen med det, der skal undersøges. Det første er forsvarligt; det andet er kontaminering. Se kontaminering: når undersøgelsen selv efterlader spor.

Brugen i civile sager

I danske civile sager er principperne ikke bindende regler, og retten vurderer beviserne frit, se fri bevisbedømmelse og digitale beviser. De har alligevel værdi på tre måder:

Som kort referenceramme. Fire principper er lettere at forklare for en dommer eller en advokat end en hel standard.
Som tjekliste for egen praksis. Er der skrivebeskyttelse? Er der arbejdsnoter? Kan en anden gentage arbejdet? Er der én, der har ansvaret?
Som grundlag for kritik. Er modpartens beviser håndteret på en måde, der bryder med principperne, er det et sagligt udgangspunkt for at stille spørgsmål. Et brud gør ikke automatisk beviset ubrugeligt, men det kan svække det.

Principperne siger det samme som ISO/IEC 27037 på en kortere måde. Standarden er mere detaljeret og mere international; se ISO/IEC 27037 og NIST SP 800-86.

Princip 3 i praksis

Det tredje princip er det, der oftest svigter i interne undersøgelser. Registreringen skal omfatte:

hvad der blev gjort, hvornår og af hvem,
hvilke værktøjer og versioner der blev brugt,
hvilke indstillinger og filtre der blev anvendt,
hashværdier for kopier og centrale mellemresultater,
hvem der har haft beviset, og hvornår det skiftede hænder.

Felterne i en kæde af ansvar er beskrevet i chain of custody-loggen.

Gentagelighed betyder ikke, at en anden skal kunne trykke på de samme knapper. Det betyder, at en anden med beskrivelsen i hånden skal kunne nå frem til det samme resultat, eventuelt med andre værktøjer. Er registreringen for løs til det, er princippet ikke opfyldt.

Princip 4 i en lille organisation

I en lille virksomhed, hvor én IT-medarbejder sikrer, en ekstern sagkyndig analyserer, og en advokat beslutter, kan ansvaret let blive uklart. Hvem stod inde for, at sikringen var fuldstændig? Hvem besluttede at undlade en kilde? Princippet kræver ikke, at én person udfører alt, men at det er klart, hvem der har overblikket og står inde for helheden. Det bør fremgå af kommissoriet eller opdraget.

Princippet gælder også, når flere parter er involveret over tid: den interne IT-afdeling, en MSP, en IR-leverandør og en sagkyndig. Hver overgang er et sted, hvor ansvaret kan falde mellem to stole, og hvor det derfor bør være skrevet ned, hvem der overtager hvad.

Typiske misforståelser

“Intet må ændres, så vi gør intet.” At undlade at sikre en tændt maskine af frygt for at ændre noget kan koste langt flere data end en dokumenteret live-sikring.
“Principperne gælder kun for myndigheder.” De beskriver god praksis, der gælder for alle, der håndterer data, som kan blive brugt som bevis.
“Vi fulgte ACPO” som eneste dokumentation. En henvisning erstatter ikke en beskrivelse af, hvad der faktisk blev gjort.

Begrebet forensically sound, som principperne ofte nævnes sammen med, er behandlet i forensically sound.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISO/IEC 27050: eDiscovery-standarden · ENFSI’s Best Practice Manual for digital forensics

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik