Efter punkt 12 i bilaget til forordning 2024/2690 klassificerer en digital enhed alle sine aktiver, fører en fuldstændig og ajourført fortegnelse over dem og har politikker for håndtering af aktiver og for mobile lagringsmedier. Når en ansættelse ophører, skal aktiverne i medarbejderens varetægt tilbageleveres, deponeres eller slettes, og det skal dokumenteres.
Kravene er bindende for de enheder, forordningen gælder for, jf. artikel 2, stk. 1. Hos en MSP eller en cloududbyder er fortegnelsen grundlaget for næsten alt andet i auditten. Uden den kan hverken logning, backup eller risikovurdering vise, at de dækker det hele.
Klassifikation i punkt 12.1
Efter punkt 12.1 fastsætter enheden klassifikationsgrader for alle aktiver. Klassifikationen bygger på fortrolighed, integritet, autenticitet og tilgængelighed.
Tilgængelighedskravene tilpasses genopretningsmålene i kontinuitetsplanerne. Et aktiv, der efter forretningskonsekvensanalysen skal være tilbage inden for få timer, skal altså have en tilgængelighedsklassifikation, der passer med det. Den kobling er beskrevet i forretningskonsekvensanalyse og backup.
Klassifikationen gennemgås regelmæssigt.
Håndtering i punkt 12.2
Efter punkt 12.2 har enheden en politik for håndtering af aktiver i hele deres livscyklus. Politikken omfatter bl.a. uigenkaldelig sletning og destruktion.
For en udbyder betyder det fx, hvordan diske fra kunders systemer slettes eller destrueres, når de tages ud af drift. Det tænkte eksempel viser, hvor punktet rammer udbyderens kunder direkte.
Mobile medier i punkt 12.3
Punkt 12.3 hedder “Politik om mobile medier” og handler om mobile lagringsmedier som USB-nøgler og eksterne diske. Politikken skal bl.a. fastsætte:
- et teknisk forbud mod tilslutning af mobile medier, medmindre der er en organisatorisk begrundelse
- deaktivering af autoeksekvering og scanning for skadelig kode
- beskyttelse under transport og opbevaring
- kryptering, hvor det er relevant.
Punkterne er sammenfattet her. Udgangspunktet er altså et teknisk forbud. Undtagelser kræver en organisatorisk begrundelse.
Fortegnelsen i punkt 12.4
Efter punkt 12.4 fører enheden en fuldstændig, nøjagtig, ajourført og konsekvent fortegnelse over sine aktiver. Ændringer registreres, så de kan spores. Fortegnelsen omfatter aktiviteter og tjenester, net- og informationssystemer og de tilknyttede aktiver.
De fire ord er hver især et auditpunkt. Fuldstændig betyder, at intet mangler. Nøjagtig betyder, at oplysningerne er rigtige. Ajourført betyder, at den viser i dag. Konsekvent betyder, at samme slags aktiv er beskrevet på samme måde. Opdelingen er en læsning af ordlyden.
Kravet efter loven til enheder uden for forordningen står i artiklen om aktivregistret.
Tilbagelevering i punkt 12.5
Efter punkt 12.5 deponeres, tilbageleveres eller slettes aktiver i personalets varetægt, når ansættelsen ophører, og det dokumenteres. Er det ikke muligt, sikres det, at aktiverne ikke længere giver adgang.
Sådan prøver auditor punktet
Det følgende er almindelig auditpraksis.
Auditor prøver fortegnelsen fra to sider. Først vælges nogle aktiver i fortegnelsen, og auditor ser efter, at de findes og er beskrevet rigtigt. Dernæst vælges nogle aktiver fra virkeligheden, fx servere i et udtræk fra virtualiseringsplatformen eller udstyr i et serverrum, og auditor ser efter, at de står i fortegnelsen. Det andet led er det, der oftest giver fund.
For klassifikationen ser auditor efter, at hvert aktiv har en grad, og at tilgængelighedsgraden passer med genopretningsmålet.
For mobile medier ser auditor efter den tekniske indstilling, der blokerer for tilslutning, og efter listen over undtagelser med begrundelser.
For tilbagelevering vælger auditor nogle medarbejdere, der er stoppet, og ser efter dokumentation for, at deres udstyr er afleveret eller slettet, og at deres adgang er lukket. Det har sin egen artikel om personalesikkerhed.
Fortegnelsen og ændringerne
Kravet om, at ændringer i fortegnelsen skal kunne spores, binder punkt 12.4 sammen med ændringsstyringen i punkt 6.4. En ny server, der sættes i drift gennem en registreret ændring, bør give en ny linje i fortegnelsen. Auditor kan vælge nogle ændringer i loggen og se, om fortegnelsen fulgte med. Det er en praktisk iagttagelse og ikke forordningens ord.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fortegnelse, der holdes ajour som en del af ændringsstyringen, en klassifikationsmodel med de fire egenskaber, en politik for mobile medier med en teknisk blokering og en procedure for fratrædelser. Driften fører fortegnelsen, og den sikkerhedsansvarlige ejer klassifikationen.
Uden en fuldstændig fortegnelse kan der stå systemer uden backup, uden logning og uden patches, uden at nogen ved det. Uden tilbagelevering kan en tidligere medarbejder have en bærbar med kundedata.
Det skal I lade være med
- At lade fortegnelsen være et regneark, ingen opdaterer · den skal være ajourført og sporbar.
- At tillade mobile medier som udgangspunkt · punkt 12.3 kræver et teknisk forbud med undtagelser.
- At lukke kontoen og glemme udstyret ved en fratrædelse · punkt 12.5 kræver dokumentation.
Det skal auditten kunne vise
- ☐ Klassifikationsgrader for alle aktiver og en kobling til genopretningsmålene.
- ☐ En politik for håndtering af aktiver, herunder sletning og destruktion.
- ☐ En politik for mobile medier og en teknisk blokering med begrundede undtagelser.
- ☐ En fuldstændig og ajourført fortegnelse med sporbare ændringer.
- ☐ Dokumentation for tilbagelevering eller sletning ved fratrædelser.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 2 og bilaget punkt 12, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk en liste over alle virtuelle servere fra jeres platform, og find hver af dem i aktivfortegnelsen.
Læs også: Logning efter punkt 3.2 · Udfasning og bortskaffelse af systemer
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
