Bevis til en auditor eller et tilsyn bør afleveres som en samlet pakke med et indeks, kilde og dato på hvert bilag og en navngiven person, der står inde for hver del. En mappe med løse filer kan rumme det rigtige materiale og alligevel være umulig at bruge, fordi ingen kan se, hvad der dokumenterer hvad.
Artiklen handler om pakken og ikke om indholdet i det enkelte udtræk. Hvilke felter et teknisk udtræk bør have, er et spørgsmål for de tekniske kontrolpunkter.
Hvad tilsynet kan bede om, og hvordan
NIS 2-loven giver den kompetente myndighed ret til at kræve oplysninger, adgang til data og dokumenter og dokumentation for gennemførelsen af cybersikkerhedspolitikker. Det står i § 21, stk. 1, nr. 5 til 7, for væsentlige enheder og i § 24, stk. 1, nr. 4 til 6, for vigtige enheder. Efter § 21, stk. 2, og § 24, stk. 2, følger der et formål med kravet og en præcis beskrivelse af, hvad der ønskes udleveret og hvordan.
Hindrer virksomheden tilsynet, eller efterkommer den ikke en afgørelse om oplysninger, giver § 32, stk. 1, nr. 4 og 5, mulighed for bødestraf. Vejledningen om cybersikkerhedsforanstaltninger siger, at dokumentationen under alle omstændigheder skal kunne gøres tilgængelig for tilsynet.
En virksomhed, der allerede har bygget en ordentlig pakke til sin egen audit, står derfor bedre, når myndigheden skriver. Forskellen på de to situationer er beskrevet i audit og tilsyn.
Afleveringspakken
Der findes ingen regel om, hvordan pakken skal se ud. Anerkendt praksis fra standarderne for intern revision giver dog et godt mønster. Hver oplysning beskrives med kilde, den dato den er hentet, og den periode den dækker. Arbejdet dokumenteres, så en kyndig person kan gentage det og nå samme resultat.
Omsat til en afleveringspakke giver det fire dele:
- Et indeks med et nummer for hvert bilag og en linje om, hvad det viser.
- En krydsreference fra kravet eller kontrollen til de bilag, der dokumenterer det.
- Kilde, udtræksdato og periode på hvert udtræk og hvert skærmbillede.
- En note om, hvad der ikke er med, og hvorfor.
For NIS2-omfattede kan pakken ordnes efter lovens ti foranstaltninger i § 6, stk. 1. Det er beskrevet i dokumentlisten og bevismappen.
Referaterne
Interviews og møder i auditten bør ende som referater. Referatet af et interview er et arbejdspapir hos auditor, men den virksomhed, der selv fører et kort referat, har sin egen version at holde den endelige rapport op imod.
Referater fra jeres egne møder er også bevis. Vejledningen nævner referater som eksempel på dokumentation ved tilsyn. Det gælder især ledelsesorganets møder, hvor godkendelser og opfølgning skal kunne vises. Hvad sådan et spor skal indeholde, står i sporet efter ledelsens godkendelse.
Hvem står inde for materialet?
Ingen regel siger, hvem i virksomheden der skal stå inde for det afleverede. Det er alligevel god praksis at give hver del en navngiven ansvarlig. Personen skal kunne svare på spørgsmål om bilaget og bekræfte, at det er fuldstændigt og uændret.
Intern revisions standarder beder om, at det fremgår, hvem der har udført og gennemgået arbejdet. Den samme tanke kan bruges i jeres egen ende. Den, der har trukket udtrækket, skriver sit navn på. En anden gennemgår, at det svarer til forespørgslen. Det giver et lille ekstra skridt, men det forhindrer, at et forkert udtræk bliver det, hele konklusionen hviler på.
Ved udtræk fra en leverandørs systemer bør det fremgå, hvem hos leverandøren der har lavet dem.
Det, der går galt
De typiske problemer i en aflevering er praktiske. Et udtræk dækker en anden periode end den aftalte. Et skærmbillede mangler dato. Samme dokument ligger i tre versioner. En procedure henviser til en skabelon, der ikke er med.
Hvert problem koster en ny runde spørgsmål. Over for et tilsyn kan det også give indtryk af, at virksomheden ikke har styr på sin dokumentation, selv om arbejdet er gjort.
Hvad det kræver, og hvad det koster at lade være
Det kræver en person, der samler pakken, et fast nummersystem og ansvarlige, der kan svare for hver del. Første gang tager det tid. Næste gang kan strukturen genbruges, og pakken skal kun opdateres.
Uden en pakke skal materialet findes frem igen, hver gang nogen spørger. Ved et tilsyn, hvor myndigheden har sat en frist, er det et dårligt tidspunkt at begynde.
Det skal I lade være med
- At sende hele fildrevet · auditor skal kunne se, hvilket bilag der viser hvad.
- At aflevere udtræk uden dato og periode · de kan ikke kobles til den periode, der vurderes.
- At lade én person stå for alt · ingen kan kontrollere den persons udtræk.
Det skal auditten kunne vise
- ☐ Et indeks over alle afleverede bilag.
- ☐ En krydsreference fra hvert krav til de bilag, der dokumenterer det.
- ☐ Hvert udtræk mærket med system, trækdato og den periode, det dækker.
- ☐ En navngiven ansvarlig for hver del af pakken.
- ☐ Referater af interviews og af ledelsens behandling.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21, 24 og 32, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, ordlisten, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav et tomt indeks med ét nummer pr. krav, og sæt et navn ud for hvert.
Læs også: Logs og ændringsspor som bevis · Tilsynet beder om dokumentation
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
