Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
ISO/IEC 17025 er den internationale standard for prøvnings- og kalibreringslaboratoriers kompetence, og den er grundlaget, når et forensisk laboratorium akkrediteres. Standarden kræver uvildighed, dokumenteret kompetence, validerede metoder, kontrol af resultaternes gyldighed, styring af data og et kvalitetsstyringssystem. For digital forensics er det særligt kravene til validering og måleusikkerhed, der er vanskelige, fordi værktøjer ændres hurtigt, og fordi resultaterne sjældent er tal med en usikkerhed.
Denne artikel beskriver, hvad standarden kræver, og hvordan kravene passer på digital forensics. Den siger intet om, hvorvidt en bestemt praksis er akkrediteret. Spørgsmålet om, hvorvidt akkreditering er et krav i civile sager, er behandlet i er akkreditering et krav i civile sager, og standarderne for selve sikringen i ISO/IEC 27037 og NIST SP 800-86 forklaret.
Hvad akkreditering er
Akkreditering er en formel anerkendelse fra et nationalt akkrediteringsorgan af, at et laboratorium er kompetent til at udføre bestemte opgaver efter bestemte metoder. I Danmark er det nationale akkrediteringsorgan DANAK, der er udpeget af Sikkerhedsstyrelsen. Til forensisk arbejde findes en international vejledning, Modules in a Forensic Science Process, som akkrediteringsorganer bruger til at fortolke kravene i 17025 i en forensisk sammenhæng. Den udkom tidligere hos ILAC og er i 2026 videreført af den nye fælles organisation Global ACI uden indholdsmæssige ændringer.
Det er vigtigt at forstå, at akkreditering altid har et omfang. Et laboratorium er ikke akkrediteret “til digital forensics”, men til specifikke aktiviteter, fx sikring af lagermedier eller udtræk fra bestemte typer mobiltelefoner. Arbejde uden for omfanget er ikke dækket, selvom laboratoriet er akkrediteret til andet.
Standardens hovedkrav
Den gældende udgave er fra 2017. På tidspunktet for gennemgangen (oktober 2026) har ISO bekræftet den uændret ved seneste revurdering.
- Generelle krav · Uvildighed og fortrolighed
- Strukturelle krav · Organisation, ansvar og ledelse
- Ressourcer · Personale, lokaler, udstyr, sporbarhed og eksterne leverandører
- Processer · Gennemgang af opgaver, metoder og validering, håndtering af genstande, tekniske registreringer, måleusikkerhed, sikring af gyldighed, rapportering, klager, afvigende arbejde og datastyring
- Ledelsessystem · Dokumentstyring, risici, forbedringer, korrigerende handlinger, interne audits og ledelsens evaluering
Uvildighed
Laboratoriet skal identificere risici for sin uvildighed løbende og kunne vise, hvordan de håndteres. Det gælder både relationer til opdragsgivere og økonomiske eller kommercielle bindinger. Metodiske værn er beskrevet i uvildighed i praksis.
Kompetence
Kravene til personale er konkrete: Kompetencekrav for hver funktion, dokumenteret uddannelse og oplæring, autorisation til bestemte opgaver og løbende overvågning af kompetencen. Et udgangspunkt for oplæring er Kom i gang med digital forensics.
Metoder og validering
Standardiserede metoder skal verificeres, før de tages i brug. Egne eller ændrede metoder skal valideres. Valideringen skal være så omfattende, som anvendelsen kræver, og resultaterne skal dokumenteres. I digital forensics, hvor de fleste “metoder” består af værktøjer anvendt på bestemte datatyper, betyder det validering pr. værktøj, version og datatype, eller en metode, der kan vise, at en opdatering ikke ændrer de validerede egenskaber. Se ISO/IEC 27041 og verifikation af værktøjer.
Sikring af resultaternes gyldighed
Laboratoriet skal løbende overvåge, at resultaterne er gyldige, fx gennem deltagelse i færdighedsprøver, gentagelse af undersøgelser, interne sammenligninger og kontrol med referencematerialer.
Tekniske registreringer
Registreringerne skal være så detaljerede, at undersøgelsen kan gentages, og de skal vise, hvem der udførte og kontrollerede hvert trin. Ændringer skal kunne spores.
De særlige udfordringer ved digital forensics
Måleusikkerhed
Standarden kræver, at måleusikkerheden vurderes, hvor det er relevant. I digital forensics er de fleste resultater ikke målinger, men identifikationer og fortolkninger: Filen findes eller findes ikke, beskeden er sendt på et tidspunkt. Usikkerheden ligger derfor i tolkningen af tidsstempler, i værktøjers fejl og i den kontekst, data indgår i. ENFSI’s manual for digital teknologi beskriver usikkerheden som noget, der vokser med antallet af funktioner i en proces, og lader det være op til laboratoriet, om den vurderes for den enkelte funktion eller for processen samlet. Hvor et tal ikke giver mening, kan usikkerheden beskrives kvalitativt, fx som kendte fejlkilder og deres betydning.
Hyppige opdateringer
Mobilværktøjer og analyseprogrammer opdateres ofte, og nye app-versioner ændrer datastrukturer. Et laboratorium, der skal validere hver ændring fuldt, når aldrig at bruge den nye version. Løsningen er en risikobaseret tilgang: faste regressionstest, verifikation af de centrale fund i hver sag og en dokumenteret vurdering af, hvornår fuld validering er nødvendig.
Færdighedsprøver
Der findes færre sammenlignende test for digital forensics end for traditionelle laboratoriediscipliner, og de dækker ikke alle datatyper. Laboratorier supplerer derfor med interne sammenligninger og egne testdatasæt.
Omfanget
Fordi akkreditering har et omfang, kan et laboratorium være akkrediteret til sikring af computere, men ikke til fortolkning af cloudlogs. Ved vurdering af en akkreditering skal man se på omfanget, ikke kun på, at akkrediteringen findes. Det gælder i særlig grad for nye datatyper, fx cloudtjenester og nye beskedapps, hvor akkrediterede metoder ofte endnu ikke findes, og hvor også akkrediterede laboratorier må arbejde med ikke-akkrediterede metoder og verifikation i den enkelte sag.
Hvordan man læser en akkreditering
Akkrediterede laboratorier har et akkrediteringsbevis med et tilhørende omfang, der typisk er offentligt tilgængeligt hos akkrediteringsorganet. Ved vurdering af en akkreditering er det relevant at se på:
- hvilke aktiviteter og metoder omfanget nævner,
- om den konkrete opgave i sagen ligger inden for omfanget,
- om omfanget angiver bestemte værktøjer, enhedstyper eller versioner,
- hvornår akkrediteringen senest er vurderet.
Rapporter fra akkrediterede laboratorier markerer ofte, hvilke dele der er udført under akkreditering, og hvilke der ikke er. Den markering er værd at læse. En rapport kan indeholde en akkrediteret sikring og en ikke-akkrediteret fortolkning.
Afvigende arbejde og klager
Standarden kræver procedurer for afvigende arbejde: Når noget ikke er udført efter metoden, eller et resultat viser sig forkert, skal det registreres, vurderes og håndteres, og det skal overvejes, om tidligere resultater er berørt. Det er et af de krav, der giver mest værdi, også uden akkreditering. En åben registrering af afvigelser viser, at kvalitetssystemet virker, og den gør det muligt at rette op, før en fejl får betydning i en sag. Se afvigelser og fejl undervejs.
Datastyring
Standarden stiller krav til styring af data og informationssystemer: at software, der bruges til at behandle data, er valideret, at data er beskyttet mod uautoriseret adgang og ændring, og at systemerne vedligeholdes. I digital forensics omfatter det analyseværktøjer, lagring af beviskopier og de systemer, der bruges til sagsstyring og rapportskrivning.
Hvad akkreditering ikke dækker
Akkreditering er en bekræftelse af, at systemet og kompetencen er på plads til de omfattede aktiviteter. Den er ikke en garanti for, at en bestemt rapport er korrekt. Fejl i fortolkning, uklare konklusioner og overset kontekst kan forekomme i akkrediterede laboratorier. Omvendt kan en ikke-akkrediteret sagkyndig udføre arbejde af høj kvalitet, hvis metoden er dokumenteret og efterprøvelig.
Principper uden akkreditering
En lille praksis kan bruge standardens principper uden at søge akkreditering: dokumenterede kompetencekrav, valideringsmapper pr. metode, tekniske registreringer, fagfællebedømmelse, afvigelseshåndtering og en årlig gennemgang af egne procedurer. Det giver ikke den formelle anerkendelse, men det giver mange af de samme svar, når metoden udfordres. Det vigtige er ærlighed i beskrivelsen: En rapport bør ikke antyde en akkreditering, der ikke findes, eller bruge standardens begreber, så læseren tror, at arbejdet er formelt vurderet. Det er bedre at skrive, hvilke principper der er fulgt, og hvordan det kan efterprøves, og lade læseren vurdere resten. Se kvalitetsstyring i en lille forensic-praksis.
Den europæiske fagvejledning, der forbinder 17025 med digital forensics, er beskrevet i ENFSI’s Best Practice Manual.
Kilder og versioner
- ISO/IEC 17025:2017 om prøvnings- og kalibreringslaboratoriers kompetence
- DANAK: om det nationale akkrediteringsorgan (engelsk)
- UKAS: Modules in a Forensic Science Process overgår fra ILAC til Global ACI
- ENFSI-BPM-FIT-01, afsnit 6 om validering og måleusikkerhed, PDF
Senest gennemgået: oktober 2026.
Næste skridt
- Fagfællebedømmelse (peer review) af forensisk arbejde
- Forensic readiness teknisk: baseline for logning, opbevaring og tidssynkronisering
- Fra revisionsbevis til forensisk bevis
Del af: Kvalitet og standarder
Læs også: ENFSI’s Best Practice Manual for digital forensics · Er akkreditering et krav i civile sager?
→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
