ISO/IEC 30121: forensic readiness som styringsramme

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

ISO/IEC 30121 er en kort standard fra 2015, der behandler evnen til at fremskaffe digitalt bevis som et spørgsmål om ledelse og risiko. Den henvender sig til bestyrelse og direktion, ikke til teknikere, og den beskriver de strategiske valg om opbevaring, tilgængelighed, adgang og omkostninger ved at kunne fremlægge digitalt bevis. Standarden blev senest bekræftet i 2020 og er gældende på tidspunktet for gennemgangen (oktober 2026).

For IT-revisorer og DPO’er er 30121 interessant, fordi den giver et sprog til at stille ledelsen spørgsmål om bevisberedskab og et grundlag for at vurdere svarene. Den forretningsmæssige side er beskrevet på bevissikring-digitalt.dk om bevisberedskab.

Hvad standarden handler om

Grundtanken er, at manglende evne til at fremskaffe bevis er en risiko på linje med andre forretningsrisici. Hvis en organisation ikke kan dokumentere, hvad der skete i en tvist, en hændelse eller en intern sag, kan den tabe krav, betale for meget eller ikke kunne forsvare sig. Standarden kalder det digital forensisk risiko.

30121 er udgivet af det udvalg under ISO og IEC, der også står bag ISO/IEC 38500 om ledelse af IT. Den bygger på samme tankegang: ledelsen skal vurdere situationen, give retning og følge op. Den indeholder ikke tekniske krav til logning eller sikring. Det er netop pointen: den placerer ansvaret for, at de tekniske krav bliver stillet.

De fire strategiske spørgsmål

Standardens anvendelsesområde kan oversættes til fire spørgsmål, som ledelsen skal kunne besvare:

Opbevaring: hvilke data gemmes hvor længe? · Logpolitik, opbevaringsregler, slettepolitik
Tilgængelighed: kan data findes og hentes, når der er brug for dem? · Oversigt over kilder og ansvarlige, test af eksport
Adgang: hvem må hente og se dem, og hvordan dokumenteres det? · Rolle- og adgangsbeskrivelse, log over analytikeradgang
Omkostning: står prisen for beredskabet i forhold til risikoen? · Risikovurdering, budget, beslutningsreferat

Det sidste spørgsmål er standardens egen vinkel. Fuld logning af alt i lang tid er dyrt og kan være ulovligt, mens for lidt logning kan blive dyrere, når sagen opstår. 30121 forventer, at ledelsen træffer en bevidst og dokumenteret beslutning om balancen.

Hvor risikoen typisk viser sig

Digital forensisk risiko bliver konkret i nogle få, tilbagevendende situationer. De er nyttige at bruge, når ledelsen skal forstå, hvad beslutningen handler om:

En medarbejder fratræder og tager data med. Kan organisationen dokumentere, hvilke filer der blev hentet, fra hvilken konto og hvornår? Det kræver fil- og loginlogs med tilstrækkelig opbevaringstid.
Et angreb fører til et forsikringskrav. Forsikringsselskabet vil typisk have dokumenteret, hvordan angriberen kom ind, og hvad der blev berørt. Uden logs fra perioden før opdagelsen er det svært.
En tvist med en leverandør. Hvem ændrede konfigurationen, og hvornår? Svaret ligger ofte i leverandørens systemer, og adgangen afhænger af kontrakten.
En intern sag om misbrug af adgang. Opslag i fagsystemer, ændringer i økonomisystemet eller adgang til postkasser skal kunne vises uden at bygge på én persons forklaring.

For hver situation kan ledelsen spørge: har vi de data, kan vi hente dem, og ved vi, hvem der gør det? Bestyrelsens del af samtalen er beskrevet på bevissikring-digitalt.dk om bestyrelsens spørgsmål.

Forholdet til de tekniske standarder

30121 står over de tekniske standarder. ISO/IEC 27043 beskriver forberedelsesprocesser som en del af en samlet undersøgelsesmodel, og ISO/IEC 27037 beskriver selve håndteringen af bevis. 30121 er det, der sikrer, at nogen har besluttet, at de processer skal findes, og at der er afsat ressourcer. Se ISO/IEC 27043 for den procesmæssige side.

Den tekniske omsætning er beskrevet i forensic readiness teknisk: baseline for logning, opbevaring og tidssynkronisering. Standarden kan bruges som overliggende begrundelse for den baseline over for ledelsen.

Revisorens vinkel

En IT-revisor kan bruge 30121 som referenceramme uden at standarden er certificerbar. Revisionen kan struktureres sådan:

Er der en beslutning? Findes der et ledelsesreferat eller en politik, der forholder sig til evnen til at fremskaffe digitalt bevis?
Er risikoen vurderet? Indgår digital forensisk risiko i risikoregistret, fx som manglende mulighed for at dokumentere misbrug, datatyveri eller kontraktbrud?
Er kravene omsat? Findes der tekniske krav til logning, opbevaring og tidssynkronisering, og stemmer de med beslutningen?
Virker det? Er der testet, om data faktisk kan hentes og dokumenteres inden for en rimelig tid?
Følges der op? Bliver beredskabet vurderet igen, når systemer, leverandører eller trusler ændrer sig?

Punkt 4 er det, der oftest mangler. En politik om 12 måneders logopbevaring er ikke meget værd, hvis ingen har prøvet at hente data fra måned 11. Metoden til at teste det er beskrevet i forensic readiness-test. Forskellen mellem det, revisor normalt ser, og det, en tvist kræver, er uddybet i fra revisionsbevis til forensisk bevis.

DPO’ens vinkel

For en databeskyttelsesrådgiver rejser 30121 et indbygget dilemma. Standarden opfordrer til at kunne fremskaffe bevis, mens databeskyttelsesreglerne kræver dataminimering og begrænset opbevaring. De to hensyn kan forenes, men kun hvis afvejningen er gjort og dokumenteret:

Formål: logning med henblik på sikkerhed og dokumentation af hændelser er et legitimt formål, men det skal være beskrevet.
Proportionalitet: opbevaringstiden skal kunne begrundes ud fra risikoen, ikke ud fra muligheden.
Adgangsstyring: adgang til logdata, især om medarbejdere, skal være begrænset og registreret.
Gennemsigtighed: medarbejdere skal være orienteret om logningen.

En ledelsesbeslutning efter 30121 er netop den type dokumentation, der viser, at afvejningen er gjort bevidst. Den kan derfor styrke organisationens position over for både en modpart og en tilsynsmyndighed. Den samlede vinkel for målgruppen er samlet på for IT-revision og DPO.

Faldgruber

Standarden som tjekliste: 30121 indeholder ingen tekniske krav. En organisation kan ikke være “30121-klar” ved at have en bestemt logopsætning.
Beslutning uden opfølgning: en politik fra flere år tilbage, der ikke er gennemgået efter skift til cloud, dækker sjældent de vigtige kilder.
Kun IT’s ansvar: standarden placerer ansvaret hos ledelsen. Hvis beslutningen kun findes i IT-afdelingen, er hensigten ikke opfyldt.
Ingen kobling til leverandører: meget af logningen ligger hos cloud- og driftsleverandører. Aftalerne skal sikre adgang til data, også efter en eventuel opsigelse.

Hvad standarden kan og ikke kan

30121 kan give en ramme for at dokumentere, at ledelsen har taget stilling til digitalt bevis, og den kan bruges som målestok i en revision. Den kan ikke vise, at de konkrete data findes eller kan bruges. I en tvist er det de faktiske logs, deres integritet og deres opbevaringstid, der tæller. Standarden forklarer kun, hvorfor de burde være der.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISO/IEC 27035: hændelseshåndtering og bevis · Værktøjer i digital forensic: kategorier, krav og valg

→ Second opinion på en IR- eller forensic-rapport · For IT-revision · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik