Når ingen lov udpeger, hvilke tjenester der er med, afgrænses en sikkerhedsaudit bedst ud fra de forretningsprocesser, virksomheden ikke kan undvære. Derfra følger systemerne, lokationerne og de leverandører, processerne hviler på, og det, der står uden for omfanget, skrives op lige så tydeligt som det, der er med.
Mange starter med en liste over systemer. Det giver en audit, der ser på det, IT-afdelingen kender bedst, og som let overser det, forretningen er mest afhængig af. På engelsk kaldes afgrænsningen “audit scope”, og mål og omfang hænger tæt sammen. Er målet uklart, bliver omfanget det også. Mål og kriterier er beskrevet i artiklen om at bestille en sikkerhedsaudit. Her handler det om omfanget.
Start i processerne
Spørg først, hvilke tre til fem processer der ville standse forretningen, hvis de var væk i en uge. Det kan være ordremodtagelse, produktionens styring, løn, kundeservice eller fakturering. Det er et tænkt eksempel, og listen ser forskellig ud fra virksomhed til virksomhed.
Til hver proces hører en ejer, der kan fortælle, hvilke systemer og data processen bruger, hvem der arbejder i den, og hvor arbejdet foregår. Svarene er råmaterialet til omfanget. Hvor dybt hver kontrol derefter undersøges, forklarer artiklen om design, indførelse og virkning.
Fra proces til systemer, lokationer og periode
Standarderne for intern revision beskriver omfanget som de aktiviteter, lokationer, processer, systemer, komponenter og den periode, opgaven dækker. Den opdeling kan bruges direkte i en sikkerhedsaudit.
- Systemer. De programmer, servere, netværk og cloudtjenester, processerne bruger. Tag også de systemer med, som styrer adgangen til dem, fx brugerkataloget.
- Lokationer. Hovedkontor, filialer, lager, produktion og hjemmearbejde. Ikke alle steder behøver besøg, se på stedet eller på afstand.
- Periode. Ser auditten på, hvordan tingene er i dag, eller på, hvordan de har fungeret over et halvt år? Det ændrer, hvilket bevis auditor beder om.
Er den tekniske opsætning af de udvalgte systemer en stor del af spørgsmålet, kan den undersøges for sig i en teknisk gennemgang af opsætning og konfiguration.
Leverandørerne hører til omfanget
En kritisk proces kan hvile på en eller flere leverandører, fx en driftspartner, en hostingudbyder eller et program, der købes som abonnement. Afgrænsningen bør sige, hvordan de behandles. Typisk ser auditten på det, I selv gør: aftalerne, opfølgningen og den adgang, leverandøren har til jeres miljø. Hvad der sker hos leverandøren selv, ligger som regel uden for jeres audit.
Skal auditor alligevel tale med leverandørens folk eller se udtræk fra leverandørens systemer, bør det stå i auditaftalen. Leverandøren bør også høre om det i god tid, for adgangen afhænger ofte af jeres kontrakt med dem og af, hvem hos leverandøren der har tid til at svare.
NIS 2-lovens vejledning kan bruges som inspiration her, også af en virksomhed, der ikke er omfattet. Vejledningen nævner risici fra tredjeparter, eksempelvis leverandører, som en del af risikostyringen. Det er en analogi og ikke et krav til en virksomhed uden for loven.
Ikke alt behøver samme dybde
Vejledningen til NIS 2-loven siger, at der godt kan være forskellige sikkerhedsniveauer i forskellige dele af systemerne, når det følger af en risikobaseret tilgang. Igen er det en analogi for den, der ikke er omfattet. Princippet kan bruges i omfanget. Kritiske processer gennemgås grundigt, mindre vigtige områder kortere.
Skriv i afgrænsningen, hvilket område der får hvilken dybde. Så kan en læser af rapporten se, at et område med få fund også er undersøgt mindre grundigt. Står det ikke skrevet, læses få fund som et godt resultat. Skal området senere måles igen over flere år, kan det være en del af en måling af modenhed over tid.
Det, der er holdt ude
Anerkendt praksis i intern revision er, at begrænsninger i omfanget, fx manglende adgang til personer, lokaler eller data, drøftes med ledelsen og nævnes i rapporten. Et ønske om at tage et område ud eller korte tiden ned regnes også som en begrænsning.
Skriv derfor både det, der bevidst er valgt fra, og grunden. Det kan være, at et system udfases om tre måneder, eller at en filial allerede er gennemgået. Fravalget er legitimt, når det er synligt.
Hvad det kræver, og hvad det koster at lade være
Afgrænsningen kræver, at procesejerne bruger lidt tid på at beskrive, hvad deres proces afhænger af. Den IT-ansvarlige oversætter det til systemer og adgange. Det meste af tiden går som regel med at finde ud af, hvilke leverandører der faktisk er i spil.
Uden en afgrænsning ud fra processerne ender auditten på det, der er nemmest at undersøge. Rapporten kan være grundig og alligevel tie om netop det system, der ville standse forretningen.
Det skal I lade være med
- At starte med systemlisten · den viser det kendte, og det kritiske kan ligge et andet sted.
- At glemme leverandørerne · en kritisk proces hviler ofte på en ekstern part.
- At skjule fravalg · et område uden for omfanget bliver læst som undersøgt.
Det skal auditten kunne vise
- ☐ De kritiske processer og hvem der ejer dem.
- ☐ Systemer, lokationer og periode knyttet til hver proces.
- ☐ Hvilke leverandører der indgår, og hvad der undersøges hos jer selv.
- ☐ Fravalgte områder med begrundelse, nævnt i rapporten.
Kilder
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.3 og 15.1, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9 og afsnit 1.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Valg af auditor · Afgrænsning af NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
