Efter CPR-lækket: Sikkerhedskrav bør gælde hele vejen

CPR-administrationen har indskærpet sikkerhedsvilkårene for virksomheder med adgang til registret. Det er en vigtig opfølgning på den omfattende sikkerhedshændelse, men rejser også et principielt spørgsmål: Bør realtidsovervågning, begrænsninger på opslag og stærk brugergodkendelse ikke være en tydelig og ensartet del af sikkerheden i hele adgangskæden?

Tidligere i oktober beskrev BiQ det omfattende CPR-læk, hvor uvedkommende gennem misbrug af en dansk virksomheds lovlige adgang fik adgang til oplysninger om cirka 8,8 millioner personer. Sagen understreger behovet for at beskytte ikke blot selve CPR-systemet, men også de adgange, som virksomheder og deres medarbejdere benytter.

Den 9. oktober udsendte CPR-administrationen et brev til virksomheder med adgang til CPR. Her indskærpes eksisterende sikkerhedsforpligtelser og kravet om passende tekniske og organisatoriske foranstaltninger. Der er altså tale om en indskærpelse af gældende regler og vilkår – ikke alene om nye krav som følge af hændelsen.

Virksomhedernes ansvar består

Brevet fremhæver blandt andet, at virksomheder skal have en sikkerhedsansvarlig, begrænse medarbejdernes adgang til det nødvendige og løbende kontrollere brugen. Antallet af transaktioner skal følges månedligt, og brugere af offentligt tilgængelige selvbetjeningsløsninger skal være autentificeret med MitID, før de kan initiere opslag i CPR. Se CPR-administrationens brev og faktaark.

Forpligtelserne gælder, uanset om virksomheden er dataansvarlig eller databehandler. At adgangen stilles til rådighed gennem en ekstern leverandør, fritager dermed ikke virksomheden for at forholde sig til sikkerheden og kontrollen med egne brugeres adgang, som det fremgår af samme brev.

Månedlig kontrol er ikke nok

Efter BiQ’s vurdering bør månedlig gennemgang af forbruget suppleres med kontroller, der kan opdage og begrænse mistænkelig aktivitet, mens den finder sted. En efterfølgende kontrol kan ikke i sig selv standse et igangværende misbrug.

Hos BiQ har sikkerheden omkring CPR-adgang i mere end ti år blandt andet omfattet detaljeret overvågning af opslag pr. minut, time og døgn – både for den enkelte kunde og på tværs af kunder. Dertil kommer daglige maksimumsgrænser pr. bruger og virksomhed, mulighed for to-faktorgodkendelse samt automatisk lukning af CPR-adgang for deaktiverede brugere.

Læs hele det brev, som vi sendte til vores CPR-kunder, her

Tiltagene illustrerer, hvordan flere sikkerhedslag kan kombineres. Overvågning gør det muligt at identificere usædvanlige mønstre, mens maksimumsgrænser begrænser, hvor mange oplysninger en adgang kan bruges til at hente. Stærk brugergodkendelse og løbende styring af rettigheder skal samtidig mindske risikoen for, at uvedkommende overhovedet får adgang. Ingen enkelt foranstaltning bør stå alene.

Krav til hele adgangskæden

På den baggrund finder BiQ det relevant at spørge, hvorfor realtidsovervågning og behovstilpassede maksimumsgrænser ikke fremgår som tydelige minimumskrav i den aktuelle indskærpelse. Tilsvarende bør det være klart, hvilke krav til stærk brugergodkendelse der gælder for de forskellige adgangsformer – og hvordan efterlevelsen kontrolleres.

Der findes allerede konkrete krav på området. Eksempelvis har MitID Erhverv været obligatorisk ved login til CPRWeb for danske virksomheder og myndigheder siden december 2025. Spørgsmålet er derfor ikke, om der overhovedet har været sikkerhedskrav, men om kravene og kontrollen har været tilstrækkelige på tværs af adgangsformer og leverandører.

Den diskussion bør omfatte både virksomheder med direkte CPR-adgang, leverandører af løsninger, der formidler adgangen, og CPR-administrationens egen driftsleverandør. DXC Technology varetager drift, forvaltning, vedligeholdelse og udvikling af CPR-systemet.

Det relevante spørgsmål er derfor også, hvilke krav CPR-administrationen har stillet til driftsleverandørens overvågning af brugsmønstre, alarmering ved markante afvigelser og muligheder for hurtigt at begrænse mistænkelig aktivitet. Det bør samtidig klarlægges, hvem der har ansvaret for at reagere, når en virksomheds adgang bruges på en måde, der afviger væsentligt fra det forventede.

Det foreliggende materiale giver ikke grundlag for at konkludere, at bestemte kontroller har været fraværende hos CPR eller DXC, eller for at placere ansvaret for hændelsen. Netop derfor bør sikkerhedsgennemgangen skabe klarhed over både krav, kontroller og ansvarsfordeling.

Skærpet opmærksomhed på persondata

Den meget alvorlige og omfattende hændelse skærper opmærksomheden på sikkerheden omkring adgangen til persondata. For BiQ er det afgørende, at opfølgningen ikke stopper ved en påmindelse om virksomhedernes ansvar, men også fører til en vurdering af, om sikkerheden er tilstrækkelig i hele adgangskæden.

Målet bør være, at uautoriseret adgang bliver sværere at opnå, at mistænkelig aktivitet opdages hurtigere, og at et eventuelt misbrug begrænses, før det får et tilsvarende omfang.