Når en digital enhed vælger et krav i bilaget til forordning 2024/2690 fra, fordi det ikke er relevant eller muligt, skal valget være dokumenteret og begrundet på en forståelig måde. Auditten ser derfor efter to ting ved hvert fravalg: at begrundelsen findes, og at den holder.
Bilaget har mange krav med et forbehold om relevans eller om, hvad der er muligt. Forbeholdene giver plads til at tilpasse kravene. Pladsen har en pris i form af papirarbejde, og det papirarbejde er et af de første steder, en auditor kigger.
Ordlyden
Artikel 2, stk. 2, har to afsnit. Det første siger, at enheden sikrer et passende sikkerhedsniveau og tager hensyn til sin eksponering for risici, sin størrelse og sandsynligheden for og alvoren af hændelser, herunder den samfundsmæssige og økonomiske indvirkning.
Det andet afsnit er det, der skaber arbejdet. Har et krav i bilaget et af forbeholdene “i det omfang, det er muligt”, “hvis det er relevant” eller “hvor det er relevant”, og finder enheden, at det ikke er relevant eller muligt, “dokumenterer den relevante enhed på en forståelig måde sin begrundelse herfor”.
Forordningen kræver altså en begrundelse, der kan læses og forstås af en anden end den, der skrev den. Den kræver ikke en bestemt form.
Kompenserende foranstaltninger
Forordningens betragtning 5 nævner, at en enhed, der på grund af sin størrelse ikke kan gennemføre visse krav, bør kunne træffe andre, kompenserende foranstaltninger. Som eksempel nævner betragtningen mikroenheder, der ikke kan adskille modstridende opgaver. De kan overveje målrettet tilsyn fra enhedens ledelses side eller øget overvågning og logning.
Betragtninger er ikke bindende tekst. De forklarer, hvordan reglerne er tænkt. En auditor kan bruge betragtning 5 som pejlemærke for, hvad en rimelig erstatning ser ud som, men ikke som et krav om en bestemt erstatning.
Betragtning 6 nævner, at myndighederne under tilsynet kan tage hensyn til den tid, der er nødvendig for at gennemføre kravene. Det er en mulighed for myndigheden og ikke en udsættelse, enheden selv kan tage.
En log over fravalg
ENISA udgav i juni 2025 en teknisk vejledning, som ikke er juridisk bindende. Den nævner som eksempel på bevis en log over undtagelser fra politikkerne, herunder situationerne i artikel 2, stk. 2, og betragtning 5. ENISA nævner også registreringer af anmodningen om undtagelsen og godkendelsen med oplysninger om de kompenserende kontroller.
ENISA’s egne eksempler er ældre software, der ikke kan opdateres, et system uden understøttelse af multifaktor-autentificering og et ældre system uden kryptering.
Ordet “undtagelseslog” står ikke i forordningen. Forordningen kræver en dokumenteret og forståelig begrundelse. En log over fravalg er ENISA’s forslag til, hvordan begrundelserne samles, så de kan findes igen.
Hvad en holdbar begrundelse indeholder
Forordningen beskriver ikke indholdet. Punkterne herunder er almindelig auditpraksis og en tolkning af, hvad “forståelig” kræver.
- Hvilket punkt i bilaget fravalget gælder, med nummer.
- Hvorfor kravet ikke er relevant eller muligt, med henvisning til risikovurderingen.
- Hvilken kompenserende foranstaltning der er valgt, hvis nogen.
- Hvem der har godkendt fravalget, og hvornår.
- Hvornår fravalget tages op igen.
Et tænkt eksempel er en udbyder med et ældre styresystem på en enkelt server, som ikke kan få den nyeste kryptering. Begrundelsen nævner punktet, risikoen, at serveren er lagt i en zone for sig, og at adgangen logges og gennemses ugentligt. Den nævner også, hvem der godkendte det, og datoen for næste vurdering.
Sådan prøver auditor begrundelserne
Auditor læser bilagets punkter igennem med jeres dokumentation ved siden af og markerer hvert sted, hvor et krav med forbeholdet ikke er gennemført. For hvert af dem ser auditor efter en begrundelse. Mangler den, er det et fund, selv om valget i sig selv kunne være rimeligt.
Findes begrundelsen, vælger auditor nogle stykker som stikprøver. For dem kontrolleres det, at risikovurderingen faktisk siger det, begrundelsen henviser til, og at den kompenserende foranstaltning findes og virker. En kompenserende logning, som ingen læser, kompenserer ikke for noget.
Til sidst ser auditor på, om fravalgene bliver taget op igen. Bilaget beder om jævnlige gennemgange, og store ændringer udløser en ny. Et fravalg fra for to år siden, der aldrig er vurderet igen, er svagt bevis.
Hvad der ikke kan vælges fra
Ikke alle krav har forbeholdet. Forretningskonsekvensanalysen i punkt 4.1.3 er et eksempel på et krav uden “hvor det er relevant”. Her kan enheden ikke begrunde sig ud af kravet. Auditor kontrollerer derfor, at fravalgene kun gælder krav, der faktisk har en af de tre formuleringer.
Hvad det kræver, og hvad det koster at lade være
Det kræver en gennemgang af bilaget, hvor hvert krav med forbehold får status som gennemført eller fravalgt, og hvor fravalgene får en begrundelse. Den sikkerhedsansvarlige kan lave det, men godkendelsen hører hos den, der har ansvaret for risikoen.
Uden begrundelserne står fravalgene som mangler. Et tilsyn kan ikke se forskel på et gennemtænkt fravalg og et glemt krav, når intet er skrevet ned.
Det skal I lade være med
- At skrive “ikke relevant” uden forklaring · forordningen kræver en begrundelse, en anden kan forstå.
- At bruge forbeholdet på krav, der ikke har det · fx forretningskonsekvensanalysen i punkt 4.1.3.
- At glemme fravalgene, når risikoen ændrer sig · begrundelsen skal holde i dag.
Det skal auditten kunne vise
- ☐ En samlet oversigt over krav med forbehold, som ikke er gennemført.
- ☐ En skriftlig begrundelse pr. fravalg med henvisning til risikovurderingen.
- ☐ Kompenserende foranstaltninger, der findes og kan påvises.
- ☐ Godkender og dato for hvert fravalg.
- ☐ Spor af, at fravalgene er vurderet igen ved planlagte gennemgange.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, betragtning 5 og 6, artikel 2 og bilaget, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- ENISA, Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690, version 1.0, juni 2025, pkt. 2.2.1, https://www.enisa.europa.eu/sites/default/files/2025-06/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find tre steder i jeres dokumentation, hvor der står “ikke relevant”, og læs begrundelsen som en fremmed ville.
Læs også: Patch og sårbarheder efter punkt 6.6 og 6.10 · Roller og ansvar efter punkt 1.2
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
