Risikovurderinger er vurderinger, du som dataansvarlig skal foretage af de risici, som de registrerede (kunder, medarbejdere mv.) er udsat for.

Risikovurderinger er vigtige, fordi forordningen som udgangspunkt kræver risikovurdering for at sikre, at tekniske og organisatoriske sikkerhedsforanstaltninger er proportionale med de oplysninger, du som dataansvarlig behandler. Det betyder, at du planlægger dine sikkerhedsforanstaltninger ud fra, hvilke data du håndterer for at opnå den bedst mulige sikkerhed og beskyttelse af den registreredes oplysninger.

Risikovurderinger udføres i tre trin:

• Først defineres en risiko
• Derefter defineres eventuelle risikokategorier
• Til sidst gennemføres en risikovurdering, der beskriver, hvordan risikoen konkret påvirker den enkelte kategori, arbejdsproces, it-system eller datamodtager.

Sådan navigerer du i de forskellige elementer:

Når du klikker på ‘risikovurderinger’, åbnes en underlinje med følgende muligheder:

:

1. Risici: Alle arbejdsprocesser, IT-systemer/informationsaktiver og datamodtagere skal risikovurderes for at sikre fuld beskyttelse af den registrerede.
2. Risikokategorier: Det kan være en fordel, for at lette arbejdet med vurderingerne, at gruppere vurderingerne i kategorier. Du kan få lidt inspiration til forskellige risikokategorier nederst på denne side.

Navigation til risici

For at få adgang til, oprette og redigere risici skal du logge ind på portalen. Inde i portalen finder du i venstre side en bjælke, hvor du skal klikke på ’Risikovurderinger’, hvorefter en underlinje åbnes. Klik her på ’Risici’ for at åbne oversigten over risici. Oversigten er opdelt i forskellige områder:

1. Skab en risiko.
2. Dette ikon er et informationsikon. Klik her for at læse mere om risici.
3. Når du ønsker at redigere en risiko, skal du klikke her.
4. Ved at klikke på dette ikon sletter du en risiko.
5. Dette ikon er et arkivikon. Hvis du klikker her, vil risikoen blive arkiveret.
6. Dette er en oversigt over eksisterende risici samt status for risikovurderinger.

Når du klikker på ‘opret’ åbnes et vindue. Her skal du angive titlen på risikoen og lave risikovurdering. Ved oprettelse af risikovurdering skal du vælge, hvilken type det er.

Læs mere om hvordan du laver risikovurderinger her.

Navigation til risikokategorier

En risikokategori er en gruppering af arbejdsprocesser, it-systemer/informationsaktiver og/eller datamodtagere, der har samme risici forbundet med sig, og hvor der derfor kan foretages en enkelt risikovurdering for kategorien.

Det er et grundlæggende krav til forordningen, at der foretages risikovurdering for at sikre, at tekniske og organisatoriske sikkerhedsforanstaltninger er proportionale med de oplysninger, du som dataansvarlig behandler.

Da forordningen ikke stiller krav til, hvor detaljerede risikovurderingerne skal være, kan du gruppere dine arbejdsprocesser mv., hvis disse er behæftet med samme risici. Dette gør risikovurderingsprocessen mere effektiv og overskuelig.

Sådan arbejder du med risikokategorier

For at få adgang til, oprette og redigere risikokategorien skal du logge ind på portalen. Inde i portalen finder du i venstre side en bjælke, hvor du skal klikke på ’Risikovurderinger’, hvorefter en underlinje åbnes. Klik her på ‘Risikokategorier’ for at åbne oversigten over kategorierne. Oversigten er opdelt i forskellige områder:

1. Opret en risikokategori
2. Rediger en eksisterende risikokategori
3. Avanceret søgefunktion
4. Slet risikokategori
5. Arkivrisikokategori
6. Oversigt over risikokategorititler
7. Overblik over, om der er foretaget en risikovurdering og dens status.
8. Status på om det er en accepteret risiko.

Når du klikker på ‘opret’ (1) eller rediger (2), åbnes et vindue. Her skal du angive en titel, beskrive kategorien og tilføje elementer. Ved at klikke på ‘tilføj varer’ åbnes en liste, hvor du kan vælge mellem arbejdsprocesser, IT-system/informationsaktiv og/eller datamodtager.

Forslåede risikokategorier

Det er vigtigt, at kategorierne er lavet ud fra den enkelte virksomheds konkrete forhold. Nedenfor kan du se GapSolutions forslag til, hvilke risikokategorier, der kan være relevante at overveje:

• Håndhævelse af den registreredes rettigheder (anmodninger om indsigt, berigtigelse osv.)
• Processer for IT-udvikling, som virksomheden varetager internt
• IT-systemer/informationsaktiver udelukkende bruger almindelige persondata og ikke bruges til kritiske funktioner
• Behandling af kontaktoplysninger (kunder, leverandører mv.)
• Kundevendte tjenester
• Regnskab
• Medarbejderdata (HR)
• Virksomhedens fysiske sikkerhed (alarmer, overvågning osv.)

Ovenstående er kun en inspirationsliste, og kategorierne bør tage udgangspunkt i en konkret vurdering i den enkelte virksomhed. It-systemer med en særlig kritisk funktion bør altid risikovurderes særskilt.