Kort sagt: VdS 10000 er en retningslinje fra VdS Schadenverhütung (en tysk institution for skadesforebyggelse med tæt tilknytning til forsikringsbranchen) om informationssikkerhed i små og mellemstore virksomheder. Den bygger ifølge VdS på ISO 27001 og BSI's grundbeskyttelse, men er langt slankere og skåret til mellemstore virksomheder. For websites og webservere er især oversigt, sårbarhedsbehandling, fjernadgange med multifaktorlogin, datasikring og håndteringen af sikkerhedshændelser vigtige.
Hvorfor VdS 10000 er interessant for mellemstore virksomheder
Mange virksomheder ved, at de burde gribe informationssikkerhed mere struktureret an, men viger tilbage for indsatsen ved en ISO 27001. Netop til det er VdS 10000 tænkt. VdS beskriver den som et brancheneutralt katalog over foranstaltninger, der hverken organisatorisk eller økonomisk skal overbelaste små og mellemstore virksomheder samt kommuner.
To oplysninger fra VdS hjælper med at placere den. Indsatsen ligger ifølge VdS på ca. 20 procent i forhold til ISO 27001. Og BSI (det tyske forbundsagentur for informationssikkerhed) vurderer ifølge VdS kravene i VdS 10000 som en delmængde af basissikringen i IT-Grundschutz. Retningslinjen er altså ikke en erstatning for de store standarder, men en realistisk indgang, som ifølge VdS er opadkompatibel.
For forsikringsselskaber har VdS 10000 særlig vægt, for VdS er tæt forbundet med forsikringsbranchen. VdS fremhæver, at en certificering kan skabe tillid hos forsikringsselskaber og hjælpe med at overføre restrisikoen. Hvad det konkret betyder for jeres police, afklarer I med forsikringsselskabet eller mægleren; henvisninger til skadestilfældet står under Cyberforsikring: Hvad der tæller i skadestilfælde.
Hvad der er nyt i VdS 10000 udgave 2025
VdS har revideret retningslinjen i 2025. Ifølge VdS er bl.a. disse punkter kommet til eller ændret:
- Klarere sprog, så også begyndere forstår kravene.
- Bindende ansvarsområder: Informationssikkerhedsansvarlige og det tilhørende team skal udpeges officielt.
- Multifaktorgodkendelse til fjernadgange bliver pligt.
- Datasikring efter flergenerationsprincippet, på forskellige steder og på forskellige medier.
- Revideret risikostyring med krav til vurderingskriterier og grænser, hvorfra en risiko accepteres.
- Et fælles kapitel "Sikkerhedshændelser", der samler de tidligere kapitler om forstyrrelser, udfald og hændelser.
- Fysiske adgange som nøgler og transpondere reguleres med i personaleprocesserne.
Nyudgaven tager desuden hensyn til retningslinjen VdS 10100, som beskriver NIS2-kravene. VdS ser VdS 10000 som et grundlag, som disse senere kan bygges oven på.
VdS 10000 og webserveren: Hvad der konkret skal gøres
Retningslinjen taler ikke om PHP eller enkelte webservere. Dens krav kan dog overføres direkte til webinfrastrukturen. Den følgende tabel viser, hvordan det kan se ud. Den er en oversættelseshjælp, ikke en officiel fortolkning.
| Kravområde | Betydning for website og webserver | Eksempel fra PHP2Shell-situationen |
|---|---|---|
| Overblik over it-systemer og risici | Websites, shops, portaler og deres servere er registreret og vurderet | Straks vide, hvilke systemer der bruger PHP og i hvilken version |
| Sårbarheder og opdateringer | Sikkerhedsopdateringer indspilles rettidigt og dokumenteres | Patch til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, genstart af alle workers |
| Fjernadgange med multifaktorlogin | SSH, hostingpanel og CMS-admin er ekstra sikret | Stjålne adgangskoder alene åbner ikke en admin-adgang |
| Datasikring | Flere generationer, adskilte steder og medier | Tilbagegreb til en sikring fra før 17.10.2026, hvis det er nødvendigt |
| Sikkerhedshændelser | Meldevej, vurdering, dokumentation | Mistanke om webshell meldes og kontrolleres, ikke slettes i stilhed |
| Leverandører | Hostingudbyder og bureau er bundet kontraktligt | Skriftlig patch-bekræftelse fra hostingudbyderen |
Til datasikringen er Backups efter 3-2-1-reglen værd at se på, til fjernadgangene Totrinslogin til admin-adgange. Begge dele passer godt med de nye pligter i udgaven 2025.
Hvordan går SMV realistisk frem?
VdS 10000 kan også bruges som vejledning uden certificeringsmål. En pragmatisk vej begynder med oversigten, for uden overblik kan intet andet krav opfyldes rent. Derefter følger punkterne med størst virkning pr. indsats: multifaktorlogin, fungerende backups med gendannelsestest og en klar meldevej ved mistanke.
Først når disse grundlag står, kan den formelle side betale sig med retningslinjer, udpegede ansvarlige og risikovurdering. Den, der senere stræber efter en certificering, finder fremgangsmåden i VdS' dokumenter; selve prøvningen overtager certificeringsorganet, ikke en leverandør som os.
En hyppig snublesten i mellemstore virksomheder er spørgsmålet om, hvem der overtager rollen som informationssikkerhedsansvarlig. Udgaven 2025 kræver en officiel udpegning. I små virksomheder havner opgaven ofte hos it-chefen eller hos direktionen selv. Det er muligt, så længe tid og beføjelser er realistisk afmålt. Det er vigtigt, at denne person også har de websites i blikfeltet, som marketing eller et bureau varetager. Netop dem falder ved den første beholdningsopgørelse gerne gennem sigten, fordi de ikke kører i eget datacenter. En enkel regel hjælper: Hvert domæne, virksomheden ejer, har en ansvarlig person og en post i oversigten.
For webserveren betyder det: Hærdning og patch-disciplin er ikke et frivilligt tillæg ved siden af retningslinjen, men netop det, den kræver i hverdagen. Hvad der hører til, beskriver Serverhærdning til PHP-webservere. Sammenligningen med de store standarder trækker indlægget ISO 27001 og TISAX: Hvad der berører webservere.
Hvordan hjælper PHP SOS konkret?
- Vi udarbejder sammen med jer oversigten over jeres websites, servere og PHP-versioner og markerer de kritiske systemer.
- Vi gennemfører de tekniske krav på webserveren: opdateringer med dokumentation, multifaktorlogin til fjernadgange, hærdning og backup-kontrol.
- Vi dokumenterer det således, at jeres informationssikkerhedsansvarlige kan overtage det i VdS-dokumenterne.
- Vi lover ingen certificering. Om kravene er opfyldt, vurderer prøvningsorganet.
Konklusion
VdS 10000 er en ramme, der skal tages alvorligt, men som kan lade sig gøre for mellemstore virksomheder. Udgaven 2025 skærper netop de punkter, der også tæller efter PHP2Shell: ansvarlige, multifaktorlogin, gode backups og en reguleret omgang med hændelser. Den, der begynder ved webserveren, opnår hurtigt synlige fremskridt og et solidt grundlag for mere.
Ofte stillede spørgsmål
Hvem er VdS 10000 tænkt til?
Ifølge VdS til små og mellemstore virksomheder samt kommuner og kommunale virksomheder. Den er brancheneutral og skal hverken overbelaste organisatorisk eller økonomisk. Ifølge VdS kan også større organisationer anvende den.
Hvad er forskellen på VdS 10000 og ISO 27001?
VdS 10000 bygger ifølge VdS på ISO 27001 og BSI's grundbeskyttelse (IT-Grundschutz), men er skåret til SMV og er langt slankere. VdS opgør indsatsen til ca. 20 procent i forhold til ISO 27001 og beskriver retningslinjen som opadkompatibel, altså som en mulig indgang til ISO 27000-rækken.
Hjælper VdS 10000 ved NIS2?
VdS beskriver nyudgaven 2025 som et grundlag, som NIS2-kravene senere kan bygges oven på. Dertil findes den egne retningslinje VdS 10100. Om jeres virksomhed er omfattet af NIS2, og hvad der så gælder, afklarer I venligst separat.
Findes der en udgave til produktionsanlæg?
Ja. Til industrielle automatiseringssystemer udgiver VdS vejledningen VdS 10020, som fortolker VdS 10000 for dette område.