ISO/IEC 27050: eDiscovery‑standarden

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 27050 er en serie af standarder om elektronisk discovery: processen, hvor elektronisk lagrede oplysninger identificeres, bevares, indsamles, behandles, gennemgås, analyseres og produceres til brug i en sag. Serien beskriver både begreberne, ledelsen af processen, de tekniske aktiviteter og den forberedelse, en organisation kan gøre på forhånd. Den er skrevet til et internationalt publikum og tager ikke stilling til, hvornår en part har pligt til at udlevere data, men til hvordan det gøres forsvarligt, når det skal ske.

Hvornår eDiscovery giver mening i en dansk sag, og hvordan advokaten bør gribe det an, er beskrevet i eDiscovery i danske sager. Her handler det om standardens indhold og de tekniske krav, den stiller.

Seriens dele

27050-1 · Emne: Overblik og begreber · Gældende udgave: 2019
27050-2 · Emne: Vejledning til styring og ledelse af eDiscovery · Gældende udgave: 2018
27050-3 · Emne: Praksiskodeks for de enkelte aktiviteter · Gældende udgave: 2020
27050-4 · Emne: Teknisk parathed · Gældende udgave: 2021

Udgaverne er dem, ISO’s katalog viser på tidspunktet for gennemgangen (oktober 2026). Delene revurderes løbende, så tjek kataloget, før en bestemt udgave citeres.

Del 1 definerer begreberne og procesmodellen. Del 2 er rettet mod ledelsen og handler om ansvar, risici og beslutninger. Del 3 er den mest tekniske og beskriver krav og anbefalinger for hver aktivitet. Del 4 handler om, hvordan en organisation indretter sine systemer og procedurer, så eDiscovery kan gennemføres effektivt, når behovet opstår.

Procesmodellen

Standarden beskriver en række aktiviteter, der ligner den procesmodel, branchen længe har brugt:

Identifikation: Hvilke kilder kan indeholde relevante oplysninger? Personer, systemer, perioder, backup.
Bevarelse: Kilderne beskyttes mod ændring og sletning, fx med hold i cloudtjenester og stop for automatisk sletning.
Indsamling: Data kopieres ud af kilderne med bevarede metadata og dokumenteret integritet.
Behandling: Data udpakkes, normaliseres, indekseres og deduplikeres.
Gennemgang: Relevante og fortrolige dokumenter udvælges.
Analyse: Mønstre, sammenhænge og tidsforløb undersøges.
Produktion: De udvalgte dokumenter udleveres i et aftalt format.

Aktiviteterne er ikke strengt lineære. Gennemgangen kan vise, at en kilde mangler, og så skal identifikationen gentages. Standarden lægger vægt på, at sådanne tilbageløb dokumenteres.

Tekniske krav i praksis

Bevarelse og indsamling

Kravene minder om dem i ISO/IEC 27037: Integriteten skal kunne dokumenteres, metadata skal bevares, og indsamlingen skal kunne efterprøves. Forskellen er skalaen. eDiscovery handler ofte om mange postkasser, fildrev og cloudtjenester, og indsamlingen sker typisk logisk via eksportfunktioner, ikke som fysiske kopier. Det stiller særlige krav til dokumentation af eksportens indstillinger og resultatantal. Se Microsoft Purview eDiscovery.

Behandling

Behandlingen er den mindst synlige og mest fejlbehæftede aktivitet. Containere skal udpakkes, krypterede og beskadigede filer skal registreres som undtagelser, tekst skal udtrækkes, og tidszoner skal normaliseres. Standarden lægger vægt på, at undtagelser ikke forsvinder i stilhed, men rapporteres. Se behandling af data og deduplikering.

Gennemgang og teknologiassisteret gennemgang

Standarden anerkender, at gennemgang kan ske med teknologisk støtte, herunder maskinlæring, og den stiller krav om, at resultatet valideres. Det er i tråd med den praksis, hvor kvaliteten af en teknologiassisteret gennemgang dokumenteres med statistiske mål for fuldstændighed og præcision. Se validering af AI-assisteret gennemgang.

Produktion

Produktionen skal ske i et format, der er aftalt eller begrundet, med bevarede metadata og en dokumentation, der gør det muligt for modtageren at kontrollere leverancen. Formater, nummerering og loadfiler er beskrevet i produktion af data.

Proportionalitet

Et gennemgående tema i standarden er proportionalitet: Omkostningerne og indgrebet ved eDiscovery skal stå i forhold til sagens betydning og de oplysninger, der kan forventes fundet. Det er et princip, der passer godt til danske forhold, hvor edition som udgangspunkt angår bestemte, angivne dokumenter og ikke en bred pligt til at udlevere alt relevant materiale, som kendes fra discovery i nogle andre retssystemer. Den juridiske side er beskrevet i editionsbegæring set fra IT-siden.

Den tekniske konsekvens er, at eDiscovery i en dansk sag ofte er mere målrettet: færre kilder, snævrere perioder og mere præcise søgninger. Metoderne fra standarden kan bruges i mindre skala, uden at principperne ændres.

Teknisk parathed

Del 4 handler om det, organisationen kan gøre, før en sag opstår: at kende sine datakilder, at have opbevaringspolitikker, der faktisk følges, at kunne iværksætte bevarelse hurtigt og at have værktøjer og procedurer til indsamling. Det svarer til tankegangen i parathedsprocesserne i ISO/IEC 27043, men med fokus på dokumenter og kommunikation frem for sikkerhedshændelser.

For en IT-afdeling er de vigtigste spørgsmål:

Ved vi, hvor mail, chat, filer og forretningsdata ligger, og hvor længe de opbevares?
Kan vi stoppe automatisk sletning for bestemte personer hurtigt og dokumenteret?
Har vi licenser og rettigheder til de eDiscovery-funktioner, platformen tilbyder?
Er der en procedure for, hvem der godkender og udfører en indsamling?

Dokumentation gennem processen

Standarden lægger vægt på, at hver aktivitet efterlader dokumentation, der kan bruges, hvis processen senere udfordres. I praksis betyder det:

en oversigt over identificerede kilder, herunder dem, der bevidst er fravalgt, og begrundelsen,
bevarelsesbeslutninger med tidspunkt og omfang,
indsamlingsindstillinger, resultatantal og hashværdier,
en liste over undtagelser fra behandlingen,
søgninger med præcis syntaks, dato og antal hits,
valideringsresultater for gennemgangen,
produktionsnoter med format, nummerinterval og manifest.

Den dokumentation er ikke kun et forsvar. Den gør det også muligt at genoptage arbejdet, hvis sagen udvides, eller hvis en ny part skal overtage det.

Typiske fejl

Bevarelse for sent. Automatisk sletning fortsætter, mens beslutningen om hold drøftes.
Undtagelser uden opfølgning. Krypterede eller beskadigede filer registreres, men ingen tager stilling til dem.
Søgninger uden test. Søgeord bruges uden at måle, hvor mange irrelevante dokumenter de rammer, og hvad de overser.

Forholdet til de andre standarder

27050 overlapper med de forensiske standarder, men har et andet fokus. De forensiske standarder handler typisk om at fastlægge, hvad der skete på et system. eDiscovery handler om at finde og udlevere relevante dokumenter. I mange sager bruges begge: en forensisk undersøgelse af én computer og en eDiscovery-proces for postkasser og fildrev. Standarderne deler principperne om integritet, dokumentation og efterprøvelighed.

Roller

Standarden skelner mellem dem, der træffer beslutninger om eDiscovery, typisk ledelsen og den juridiske rådgiver, og dem, der udfører de tekniske aktiviteter. Rollefordelingen har betydning, fordi tekniske valg, fx hvilken deduplikeringsmetode der bruges, eller hvordan undtagelser håndteres, kan have juridiske konsekvenser. Standardens svar er, at sådanne valg skal gøres synlige for beslutningstagerne og dokumenteres, ikke træffes stiltiende af den, der betjener værktøjet. For en IT-afdeling betyder det, at det er en god idé at beskrive de tekniske valg i et kort notat til advokaten, før produktionen sker, i stedet for at forklare dem bagefter, når modparten har stillet spørgsmål.

Hvad standarden kan bruges til

Som referenceramme, når en eDiscovery-proces skal beskrives og begrundes.
Som tjekliste, når modpartens produktion skal vurderes: Er kilderne identificeret, er undtagelser rapporteret, er søgninger dokumenteret, er produktionen kontrollerbar?
Som grundlag for beredskab i organisationer, der jævnligt skal kunne finde og udlevere data.

En henvisning til standarden erstatter ikke dokumentation af det konkrete arbejde. Det er stadig beskrivelsen af kilder, filtre, søgninger, undtagelser og produktion, der gør processen forsvarlig.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISO/IEC 27043: principper og processer for hændelsesundersøgelser · ACPO-principperne: fire grundregler for digitale beviser

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik