D‑mærket og sikkerhedstest af produktet

En dansk kunde kan spørge, om I har D-mærket, i samme skema hvor der spørges til jeres seneste penetrationstest. Det kan få spørgsmålene til at ligne hinanden, men de handler om noget forskelligt. D-mærket er en mærkningsordning for virksomheden som helhed; en pentest er en afprøvning af et bestemt produkt på et bestemt tidspunkt. Svaret til kunden hviler på det, ordningen selv oplyser om sine kriterier og sin kontrol, og på en ærlig beskrivelse af, hvad I har af hvert.

Hvad D-mærket er

D-mærket beskriver sig som Danmarks mærkningsordning for it-sikkerhed og ansvarlig dataanvendelse. Ifølge ordningen er den skabt af Industriens Fond i samarbejde med Dansk Erhverv, Dansk Industri, SMVdanmark og Forbrugerrådet Tænk, og den støttes af Erhvervsstyrelsen. Ordningen beskriver sig selv som en uafhængig privat organisation med en styregruppe og et rådgivende panel.

Formålet er ifølge ordningen at vise forbrugere, kunder og samarbejdspartnere, at virksomhedens data er i trygge hænder. For et softwarehus betyder det, at mærket siger noget om, hvordan virksomheden arbejder med it-sikkerhed og data, ikke om et enkelt produkts tekniske styrke. → Produktet eller hele virksomheden

Kriterierne og softwarehusets særlige punkt

D-mærket har otte kriterier. De dækker forankring i ledelsen, bevidsthed og sikker adfærd, teknisk it-sikkerhed, krav til leverandørers it-sikkerhed og dataanvendelse, gennemsigtighed og kontrol over data, privatliv og sikkerhed gennem design og standardindstillinger, pålidelige algoritmer og AI samt dataetik.

Virksomheder placeres ifølge ordningen i en af fire grupper efter størrelse, forretningsmodel og brug af data og it. De første fem kriterier gælder alle. Kriteriet om privatliv og sikkerhed gennem design og standardindstillinger gælder ifølge ordningen virksomheder, der udvikler software, og kriteriet om algoritmer og AI gælder dem, der bruger eller udvikler den slags. Et softwarehus skal altså regne med flere kriterier end en virksomhed, der kun bruger andres systemer. → Sikkerhedskrav i udviklingen

Hvad mærket siger om test

Ordningens offentlige beskrivelse af kriterierne nævner ikke penetrationstest. De detaljerede krav under hvert kriterium står ifølge ordningen i selvevalueringen, som virksomheden gennemgår, før den anmoder om kontrol. Om og hvordan sikkerhedstest af produktet indgår i kravene for netop jeres gruppe, kan I derfor kun se der.

Det har betydning for, hvad I skriver til kunder. Skriv ikke, at D-mærket kræver eller dokumenterer en penetrationstest, medmindre I har set det i kravene. Og skriv ikke, at en pentest gør jer klar til mærket. De to ting kan understøtte hinanden: en test kan være dokumentation under et teknisk kriterium, og mærket kan vise kunden, at testen indgår i et større arbejde. Men de er ikke det samme. → Kunden henviser til en standard

Spørgsmålet kan også komme fra den anden side. Et af ordningens kriterier handler om krav til leverandørers it-sikkerhed og dataanvendelse. Er kunden selv D-mærket eller på vej til det, kan kundens spørgsmål til jer være en del af kundens eget arbejde med det kriterium. Så er det ikke nødvendigvis jeres mærke, kunden skal bruge, men dokumentation for, at kunden har stillet krav til jer og fået svar. En kundeversion af pentestrapporten og præcise svar i skemaet kan dække det behov, selv om I ikke har mærket. → Kunden spørger til hosting og underleverandører

Sådan opnås og fornyes mærket

Ordningen beskriver forløbet i trin. Virksomheden gennemgår en selvevaluering, der fastlægger, hvilke kriterier den skal opfylde. Når minimumskravene er besvaret og dokumenteret, kan virksomheden anmode om kontrol, underskrive en erklæring og gennemgå et forløb med ordningens kontrollanter. Efter kontrol og godkendt dokumentation tildeles mærket, og der udstedes en rapport.

Mærket tildeles ifølge ordningen for et år ad gangen. For et softwarehus passer det med en årlig testrytme, hvis I vil bruge den samme dokumentation begge steder. Læg testen, så rapporten er klar, før dokumentationen til mærket skal afleveres. → Et årshjul for sikkerhedstest

Hvad I svarer kunden

Spørger kunden, om I har D-mærket, er svaret ja eller nej. Har I det, så oplys, hvornår det sidst er tildelt, og henvis til ordningens egen oplysning om, hvad det dækker. Har I det ikke, så sig det, og beskriv, hvad I har i stedet: en pentest af produktet, politikker, eventuelle certificeringer.

Hvis kunden beder om mærket som betingelse, så spørg hvorfor. Måske er mærket en del af kundens egen leverandørpolitik, måske er det et ønske om at vide, at leverandøren arbejder struktureret med sikkerhed. I det sidste tilfælde kan anden dokumentation være tilstrækkelig. → Kravet står i kundens leverandørpolitik

Et tænkt eksempel

Et lille softwarehus leverer et bookingsystem til frisørsaloner. En kæde af saloner spørger i sit skema, om softwarehuset har D-mærket, og om produktet er penetrationstestet.

Softwarehuset har ikke mærket, men har en pentestrapport fra sidste kvartal og en kundeversion af den. Det svarer nej til mærket, ja til testen og vedlægger kundeversionen. Samtidig gennemgår det ordningens selvevaluering for at se, hvilke kriterier der gælder for et softwarehus af dets størrelse, og beslutter at søge mærket det næste år. Svaret i skemaet fortæller kunden præcis det og intet mere: intet mærke i dag, en test af produktet fra sidste kvartal og en plan, som kunden kan spørge til igen ved næste fornyelse. Softwarehuset skriver ikke på sin hjemmeside, at det er på vej til mærket, før kontrollen er bestilt.

Det skal I lade være med

Skrive, at mærket kræver en pentest · det står ikke i den offentlige beskrivelse af kriterierne.
Kalde jer D-mærket, før mærket er tildelt · en gennemført selvevaluering er ikke et mærke.
Bruge mærket som svar på et spørgsmål om produktets test · de to ting dækker forskelligt.
Glemme fornyelsen · mærket tildeles for et år ad gangen.
Antage, at kriterierne er de samme for alle · softwarehuse kan have flere kriterier.

Hvad kan og ikke kan konkluderes

D-mærket viser, at virksomheden er kontrolleret op imod ordningens kriterier for sin gruppe. Det siger ikke, hvad en test af et bestemt produkt ville finde, og en pentest af produktet viser ikke, at virksomheden opfylder mærkets kriterier. Om mærket er relevant for jeres kunder, er en forretningsbeslutning. Ordningens krav og forløb kan ændre sig; tjek dem hos ordningen, før I svarer.

Tjekliste, når kunden spørger til D-mærket

☐ Ved I, om kunden kræver mærket eller blot spørger?
☐ Har I læst ordningens kriterier hos ordningen selv?
☐ Ved I, hvilken gruppe og hvilke kriterier der gælder jer?
☐ Siger jeres svar tydeligt, hvad mærket og testen hver især dækker?
☐ Passer testens tidspunkt til en eventuel fornyelse af mærket?

Kilder

D-mærket: Danmarks mærkningsordning for it-sikkerhed og ansvarlig dataanvendelse; forløbet med selvevaluering, kontrol og tildeling for et år ad gangen.
D-mærket: Om D-mærket: skabt af Industriens Fond i samarbejde med Dansk Erhverv, Dansk Industri, SMVdanmark og Forbrugerrådet Tænk; støttet af Erhvervsstyrelsen; styregruppe og rådgivende panel.
D-mærket: Kriterier: de otte kriterier; fire grupper; kriteriet om design og standardindstillinger for softwareudviklere; de detaljerede krav i selvevalueringen.

Senest gennemgået: oktober 2026.