Omfanget af en NIS2-audit er ikke noget, I frit kan skære til. Loven omfatter alle de net- og informationssystemer, enheden bruger til sine operationer eller tjenester, og det, I selv kan vælge, er dybden og rækkefølgen.
Den praktiske vej er at starte ved den tjeneste, der gør jer omfattet, og følge den bagud til systemer, data, leverandører og steder. Derefter lægges resten af enheden til, med et niveau, der passer til risikoen.
Hvad loven omfatter
§ 6, stk. 1 i NIS 2-loven handler om risici for sikkerheden i de net- og informationssystemer, enhederne bruger “til deres operationer eller til at levere deres tjenester”. Lovens definition i § 3, nr. 21 er bred. Den omfatter elektroniske kommunikationsnet, enhver anordning, der automatisk behandler digitale data, og de data, der bliver behandlet.
Styrelsen for Samfundssikkerhed nævner i vejledningen om foranstaltningerne it-systemer, OT-systemer, IoT-enheder og komponenter i it-infrastrukturen som eksempler. Vejledningen om anvendelsesområdet tilføjer, at hele enheden bliver omfattet, når den er omfattet. Det gælder også, hvis kun ét af dens forretningsområder er nævnt i lovens bilag. Det sidste er uddybet i hele CVR-nummeret er med.
Fra tjenesten og bagud
Afgrænsningen kan bygges i fire lag. Fremgangsmåden er praksis og ikke en metode fra myndigheden.
Første lag er tjenesten. Skriv den eller de tjenester ned, der gør jer omfattet, med lovens ord fra bilag 1 eller 2. Det er her, de samfundsmæssige skader ved en hændelse er størst, og det er her, auditten bør gå dybest.
Andet lag er de systemer, tjenesten afhænger af. De synlige forretningssystemer er med, og det samme er identitet, netværk, backup, overvågning, fjernadgang og de systemer, der styrer fysisk udstyr. Et produktionsanlæg kan stå stille, fordi en server til planlægning er nede.
Tredje lag er data og leverandører. Hvilke data skal være tilgængelige og korrekte, for at tjenesten virker? Og hvilke leverandører driver eller har adgang til systemerne? Kravene gælder, uanset om I selv driver systemerne eller har lagt driften ud, skriver vejledningen om foranstaltningerne. Hvordan det håndteres i auditten, står i driften er outsourcet.
Fjerde lag er stederne. Loven og vejledningerne bruger ikke lokationer som afgrænsningsbegreb. I praksis er de nyttige, fordi en audit skal vide, hvor systemerne står, og hvor der arbejdes med dem: hovedkontor, produktionsanlæg, datacenter, filialer og hjemmearbejdspladser. Et ajourført aktivregister gør de fire lag langt lettere at beskrive.
Resten af enheden
Når kæden bag tjenesten er beskrevet, er der stadig systemer tilbage: økonomi, løn, mail, udvikling og administration. Vejledningen om anvendelsesområdet siger, at hele enheden er omfattet, men at det ikke nødvendigvis betyder ens sikkerhedstiltag. Et lavere niveau for en mindre biaktivitet kan være passende.
For auditten betyder det, at de øvrige systemer er med, men at kontrollen kan være lettere. Det afgørende er, at forskellen i niveau er begrundet i risikovurderingen. En audit, der springer dem helt over, lader et hul stå åbent. Mail og identitet er ofte de veje, en angriber bruger for at nå tjenesten. Det sidste er en faglig vurdering.
Dybde frem for bredde
Når alt er med, må dybden variere. Et udkast til opdrag kunne se sådan ud, som et tænkt eksempel: fuld gennemgang af alle ti foranstaltninger for tjenesten og dens systemer, stikprøver på adgang, backup og logning for de øvrige systemer, og dokumentgennemgang for de lokationer, der ikke besøges.
Skriv i opdraget, hvad der ikke er undersøgt i dybden, og hvorfor. Så kan ledelsen se, hvad rapporten dækker. Hvordan en almindelig sikkerhedsaudit afgrænses uden lovkrav, står i afgrænsning af en sikkerhedsaudit. Den tekniske kontrol af opsætningen på de enkelte systemer er et emne med egne kontrolpunkter.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver en liste over tjenester, systemer, data, leverandører og steder, og en person, der kan forklare afhængighederne. Har I et aktivregister, er meget af arbejdet gjort. Har I ikke, er afgrænsningen den første opgave i auditten.
Et for smalt omfang giver en rapport, der ser fin ud for de systemer, den har set, og intet siger om resten. Ledelsen godkender så et billede af en del af enheden, mens loven gælder det hele. Et for bredt omfang uden prioritering giver omvendt en lang audit, hvor det vigtigste ikke får den opmærksomhed, det kræver.
Det skal I lade være med
- At afgrænse auditten til den omfattede afdeling · hele enheden er med.
- At glemme de systemer, der understøtter tjenesten · identitet, backup og netværk hører til.
- At udelade noget uden at skrive det · ledelsen skal kunne se, hvad der ikke er set.
Det skal auditten kunne vise
- ☐ De tjenester, der gør enheden omfattet, med henvisning til bilaget.
- ☐ Systemer, data og leverandører bag hver tjeneste.
- ☐ Lokationer, hvor systemerne står, og hvor der arbejdes med dem.
- ☐ Øvrige systemer i enheden og det niveau, de er kontrolleret på.
- ☐ Begrundelsen for forskelle i niveau.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv den tjeneste, der gør jer omfattet, øverst på et ark, og tegn de systemer, den afhænger af, under den.
Læs også: NIS2-audit i en koncern · OT og produktionsanlæg i NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
