Et aktivregister er en fortegnelse over det, virksomheden har af hardware, software, data og andre ting, der kan påvirke sikkerheden. NIS 2-vejledningen kalder fortegnelsen et “kan” og et “bør”, så den er ikke et lovkrav i sig selv. Auditor kan alligevel vælge at begynde med den, fordi alle andre konklusioner hviler på, at I ved, hvad I har.
Begrundelsen er auditorens egen og står forklaret længere nede.
Kravet om at forvalte aktiver
Aktiverne er med i loven gennem ordene “forvaltning af aktiver” i § 6, stk. 1, nr. 9.
Ordlisten i Styrelsen for Samfundssikkerheds vejledning fra juni 2025 gør et aktiv til enhver fysisk, digital eller organisatorisk komponent. Det omfatter hardware, software, data, net, processer og personale.
Vejledningen har ét “skal”: enheden skal fastlægge, hvordan den forvalter de aktiver, der kan påvirke sikkerheden. Det er det, auditten først kontrollerer. Findes der en beskrivelse af, hvordan aktiver forvaltes, og hvem der har ansvaret?
Fortegnelsen er en anbefaling
Om fortegnelsen skriver vejledningen, at enheden kan udvikle og vedligeholde en fortegnelse over aktiver. Gør den det, bør fortegnelsen være komplet, nøjagtig og retvisende, og ændringer bør dokumenteres som en del af ændringsstyringen.
To andre steder i vejledningen peger i samme retning. Under cyberhygiejne står det som et “bør” at oprette en fortegnelse over hardware- og softwareaktiver. Under logning bør enheden føre en liste over de aktiver, der logges.
Vejledningen anbefaler desuden procedurer for forvaltning af alle aktiver og kritiske afhængigheder, klassifikationsniveauer og instruktioner for håndtering i hele livscyklussen, også for flytbare medier som USB-nøgler. Udleverede aktiver bør returneres ved ophør.
Uden fortegnelse har I sagt nej til en anbefaling, og den beslutning skal I kunne begrunde, hvis tilsynet spørger. Om anbefalingernes vægt i en audit kan I læse i vejledningens tre niveauer.
Hvorfor auditor begynder her
Det følgende er auditorens ræsonnement og ikke en kildeoplysning.
En audit udtaler sig om stikprøver. En stikprøve af systemer, der opdateres, giver kun mening, hvis man ved, hvilke systemer der findes. Det samme gælder rettigheder, backup, logning og kryptering. Mangler overblikket, kan auditor ikke vide, om stikprøven er repræsentativ, eller om der står systemer uden for alle procedurer.
Konklusionerne i resten af auditten bliver derfor usikre, hvis aktivregistret er mangelfuldt. Auditor kan stadig konstatere, at de udvalgte systemer er i orden. Auditor kan ikke sige noget om dem, ingen kender. Stikprøvernes rolle er forklaret i stikprøver i en audit.
Sådan efterprøver auditor registret
Metoden er almindelig auditpraksis.
Auditor går begge veje. Fra registret til virkeligheden vælges nogle aktiver, og auditor ser efter, at de findes, at ejeren er rigtig, og at klassifikationen passer. Fra virkeligheden til registret vælger auditor nogle ting, der er set under gennemgangen, fx en server i et rack, en cloudtjeneste på en faktura eller et program på en bærbar, og ser efter, om de står i registret.
Den anden vej er den vigtigste. Den viser, om registret er komplet.
Auditor ser også efter ejere og klassifikation. Et register uden ejere viser, hvad I har. Hvem der svarer for det, står der ikke. Uden klassifikation kan kryptering og adgangsstyring ikke bygge på det, vejledningen forudsætter, se audit af kryptering.
Den tekniske afstemning mellem registret og det, der faktisk findes på nettet, fx med scanning og udtræk fra administrationsværktøjer, beskrives under den tekniske kontrol af aktiver og opsætning. Hvis I vil følge registrets fuldstændighed over tid som en del af jeres modenhed, er det måling af sikkerhedsmodenhed.
Livscyklussen
Registret bør følge med, når noget købes, ændres eller udfases. Vejledningen anbefaler, at ændringer dokumenteres som en del af ændringsstyringen. Auditor tager et aktiv, der er indkøbt for nylig, og et, der er udfaset, og ser, om registret har fulgt med. Det hænger sammen med sikkerhed ved anskaffelse og udfasning og bortskaffelse.
Hvad det kræver, og hvad det koster at lade være
Et brugbart register kræver en første optælling, et ejerskab pr. aktiv, en klassifikation og en kobling til indkøb og ændringsstyring, så det holdes ved lige. Den første optælling er den tunge del. Bagefter er det disciplin.
Uden registret er alle andre svar i auditten forbehold. I kan ikke vise tilsynet, at foranstaltningerne dækker hele miljøet, og ved en hændelse ved I ikke, hvad der kan være ramt.
Det skal I lade være med
- At lave registret én gang og lade det stå · det bør følge med anskaffelser og udfasninger.
- At registrere hardware og glemme cloudtjenester og data · vejledningens aktivbegreb er bredt.
- At undlade ejere · uden ejer er der ingen, der svarer for aktivet.
Det skal auditten kunne vise
- ☐ En beskrivelse af, hvordan aktiver, der kan påvirke sikkerheden, forvaltes.
- ☐ En fortegnelse med ejer og klassifikation. Findes den ikke, en skriftlig forklaring på hvorfor.
- ☐ Stikprøver begge veje mellem register og virkelighed.
- ☐ Dokumenterede ændringer ved anskaffelse og udfasning.
- ☐ Instruktioner for flytbare medier og returnering ved ophør.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 4 og afsnit 2.b, 7.a og 9.c, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag fem ting, I ser på kontoret eller på fakturaerne i dag, og se efter, om de står i jeres register.
Læs også: Audit af sårbarhedshåndtering · Logning og overvågning
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
