...
Alle artikler
Her står alle artikler på sitet, ordnet i de samme grupper som temasiderne. Hver gruppe begynder med det grundlæggende og slutter med de mere specielle emner.
Sikkerhedsaudit: hvad det er, og hvilken slags
- Hvad er en sikkerhedsaudit, og hvilke spørgsmål svarer den på?
- Audit, revision, gennemgang og tjek: hvad ordene betyder, og hvad de forpligter til
- Sikkerhedsaudit, penetrationstest eller sårbarhedsscanning: hvilket spørgsmål vil I have svar på?
- Sikkerhedsaudit eller revisors IT-revision: generelle IT-kontroller, påtegning og det, ingen af dem dækker
- Compliance-audit eller sikkerhedsaudit: målt mod regler eller mod jeres risiko
- Intern og ekstern audit: hvem gør hvad, og hvad kan hver bruges til?
- Uvildig og uafhængig: hvad det betyder for en sikkerhedsaudit, og hvordan I prøver det
- Når IT-leverandøren vurderer sin egen drift: interessekonflikten og alternativerne
- Modenhedsvurdering eller efterlevelsesaudit: hvor langt er I, eller lever I op til kravet?
- Audit af virksomheden eller af softwareproduktet: to regelsæt, to gennemgange
- Teknisk gennemgang eller audit af styringen: opsætningen eller måden, den bliver holdt på
- ISO 27001-certificeringsaudit, intern audit efter punkt 9.2 og en sikkerhedsaudit: tre formål
- ISAE 3402, ISAE 3000 eller en auditrapport: hvad skal I bruge til hvad?
- Auditkriterier: hvad en sikkerhedsaudit måler imod, når ingen lov kræver noget
- CIS Controls og implementeringsgruppe 1 som målestok i den mindre virksomheds audit
- D-mærket eller en sikkerhedsaudit: hvad mærket kan, og hvad en audit tilføjer
- Hvad en sikkerhedsaudit ikke kan: garanti, certifikat og godkendelse
- Hvad indgår i en sikkerhedsaudit? Områderne, og hvordan omfanget vælges
- Tjeklister i en audit: hvor de hjælper, og hvor de skjuler noget
- GDPR-audit: fem ting, ordet kan dække, og hvilken I har brug for
Hvornår og hvorfor: anledninger til en audit
- Hvornår giver en sikkerhedsaudit mening? De typiske anledninger
- Hvor ofte skal en virksomhed uden lovkrav have en sikkerhedsaudit?
- Cyberforsikringens spørgeskema og de svar, I kan stå inde for
- Bestyrelsen vil have et uafhængigt billede af IT-sikkerheden
- Kunden kræver dokumentation for jeres IT-sikkerhed
- Jeres kunde er omfattet af NIS 2, det er I ikke
- Ny direktør eller ny IT-ansvarlig med en audit som udgangspunkt
- Audit efter et angreb eller et nedbrud i en virksomhed uden NIS 2
- Virksomheden er vokset fra sin IT, og den uformelle sikkerhed er blevet en risiko
- GDPR artikel 32 og kravet om regelmæssig afprøvning og evaluering
- Lige under NIS2-grænsen og en audit, der gør det lettere at vokse over
- Når svaret til cyberforsikringen ikke holder: oplysningspligten og auditten før fornyelsen
- Bogføringsloven og digitale bogføringssystemer: sikkerhedskravene, en audit kan efterprøve
- Intern parathedsaudit før december 2027: hvad organisationen kan vise nu
IT-sikkerhedstjek for mindre virksomheder
- Hvad er et IT-sikkerhedstjek, og hvad får en mindre virksomhed ud af det?
- IT-sikkerhedstjek eller fuld audit, og hvordan I vælger efter krav og risiko
- De seks områder i et sikkerhedstjek og det, hvert af dem svarer på
- IT-leverandøren siger, at alt er fint, og sådan får den lille kunde et uafhængigt svar
- Ingen IT-ansvarlig i huset, og hvem der så ejer fundene efter tjekket
- Forberedelse til et sikkerhedstjek og det, der bør ligge klar
- Egne tjek, før I bestiller, med myndighedernes værktøjer og deres grænser
- Rapporten fra et sikkerhedstjek med få sider og prioriterede fund
- Efter tjekket og rækkefølgen for de første tre måneder i en lille virksomhed
- IT-sikkerhedspolitikken i en lille virksomhed og det, auditor ser efter
- Risikovurdering af IT i en mindre virksomhed som det grundlag, auditten måler imod
- Datatilsynets råd om sikkerhed til små virksomheder som tjekliste i et sikkerhedstjek
- Andet sikkerhedstjek et år efter og det, der sammenlignes
Bestilling, valg af auditor og forberedelse
- Sådan bestiller I en sikkerhedsaudit med et opdrag på én side
- Afgrænsning af en sikkerhedsaudit, når ingen lov bestemmer omfanget
- Valg af auditor til en sikkerhedsaudit med fem spørgsmål
- Hvad påvirker prisen på en sikkerhedsaudit, og hvordan sammenligner I to tilbud?
- Auditplan eller auditprogram, én audit eller en plan over flere år?
- Gennemgang på stedet eller på afstand, og hvad hver form kan se
- Valg af auditor til en NIS2-audit, så vurderingen holder over for tilsyn og bestyrelse
- Må den rådgiver, der byggede jeres NIS2-arbejde, også auditere det?
- Revisionshus, advokat eller sikkerhedsrådgiver, hvem auditerer hvad i NIS2?
- Hvad påvirker prisen på en NIS2-audit, og hvordan sammenligner I to tilbud?
- Auditaftalen om omfang, adgang, fortrolighed og ansvar
- Dokumentlisten og bevismappen ordnet efter lovens ti foranstaltninger
- Interviews i auditten, hvem skal med, og hvordan forbereder I dem?
- Forløbet i en NIS2-audit fra opstartsmøde til rapport, og hvad det kræver af jeres egne folk
- Selvevaluering før auditten, myndighedernes skemaer, og hvor en egen vurdering ikke er bevis
- Ledelsens rolle i auditten som interviewperson og modtager
- Bestyrelsen vil have et svar uden om direktionen, sådan bestiller ledelsesorganet selv auditten
- Auditrapport eller revisors NIS2-erklæring efter ISAE 3000, to produkter med hver sin modtager
- Auditprogram for softwarehuset, der både er NIS2-enhed og fabrikant
- Afgrænsning af sikkerhedsauditten hos en softwarefabrikant: kodelager, byggesystem og opdateringsserver
Auditmetode og bevis
- Forløbet i en sikkerhedsaudit fra første samtale til gennemgang af rapporten
- Logs og ændringsspor som bevis: hvad auditor bruger systemernes egne spor til
- Design, indførelse og virkning: tre niveauer, en foranstaltning kontrolleres på
- Hvad tæller som bevis i en NIS2-audit, og hvad gør I, når god praksis ikke er skrevet ned?
- Stikprøver: hvordan de vælges, og hvad de kan sige
- Aflevering af bevis til auditor og tilsyn: afleveringspakken, referaterne og hvem der står inde for materialet
- Compliance-platforme og automatisk bevisindsamling: hvad auditor stadig skal se selv
- Tekniske stikprøver i en NIS2-audit: hvor dybt går auditor?
- Penetrationstest som bevis i NIS2-auditten: hvad auditor kan bruge rapporten til
- Opfyldt, delvist opfyldt, ikke opfyldt: sådan klassificeres fund
- Uenig i et fund? Faktatjek og høring, før rapporten er endelig
- Sporet efter ledelsesorganets godkendelse: referatpunkt, bilag, dato og udvalg
- Øjebliksbillede eller periode: hvad auditten udtaler sig om
- Følg én sag fra start til slut: hændelse, ændring og fratrædelse som metode
Fund, rapport og opfølgning
- Foranstaltninger uden ejer: når risikoen ikke har en risikoejer, og ledelsesorganet ikke får besked
- Den mindre NIS2-virksomhed: fund, når én person har hele opgaven
- NIS2-auditrapporten: indhold, opbygning og den ene side til ledelsen
- Sådan læser bestyrelsen en NIS2-auditrapport
- Fra fund til handlingsplan: ejere, frister og ressourcer
- Kan ledelsen vælge ikke at rette et fund? Risikoaccept og pligten i § 6, stk. 2
- Auditten viser store huller: ledelsens første beslutninger
- Auditrapporten som dokumentation for ledelsens tilsyn efter § 7, og hvor beviset slutter
- Hvem må få auditrapporten, og hvad kan I vise kunderne i stedet?
- Opfølgningsaudit og lukkebevis: hvornår er et fund lukket?
- Handlingsplanen er gået i stå: samme mangel i to rapporter
- Egenkontrol og årshjul mellem de eksterne audits
- Fra auditrapport til budget i en mellemstor virksomhed: anbefalingerne omsat til en beslutning
NIS2-audit: grundlag og afgrænsning
- Hvad er en NIS2-audit, og hvilke spørgsmål svarer den på?
- NIS2-audit, gap-analyse eller parathedstjek: hvad har I brug for?
- Kræver NIS 2-loven en audit? Det, loven kræver, og det, tilsynet kan pålægge
- Intern eller ekstern NIS2-audit: hvad kan I selv, og hvornår skal der en uvildig til?
- Skal, bør og kan: sådan bliver “passende og forholdsmæssige” til auditkriterier
- Gennemførelsesforordning 2024/2690 som målestok, når den ikke gælder for jer
- ENISA’s tekniske vejledning: eksemplerne på bevis, og hvad de ikke forpligter til
- I har en ISAE 3402- eller 3000-erklæring: hvad kan genbruges i NIS2-auditten?
- Standardhenvisningerne i vejledningen: ISO 27001, NIST CSF 2.0 og IEC 62443 som krydsreference
- Væsentlig eller vigtig enhed: samme krav, forskelligt tilsyn, og derfor auditerer vigtige enheder også
- Hvornår skal den første NIS2-audit ligge?
- Hvor ofte skal en NIS2-audit gentages, og hvad udløser en ny?
- Hvad en NIS2-audit ikke kan bevise
- ISO 27001-certifikatet i NIS2-auditten: hvad certificeringen dækker, og hvad der stadig skal kontrolleres
- Tilsynets spørgeskema fra maj 2026 brugt af en privat virksomhed under Styrelsen for Samfundssikkerhed
- Afgrænsning af NIS2-auditten: fra omfattet tjeneste til systemer og lokationer
- Kun ét forretningsområde er omfattet: hele CVR-nummeret er med i auditten
- NIS2-audit i en koncern: én samlet eller én pr. selskab?
- Datterselskaber i andre EU-lande: jurisdiktionen følger den enkelte enhed
- Driften er outsourcet: hvad auditeres hos jer, hvad hos leverandøren?
- NIS2 og GDPR artikel 32 i samme audit
- Energi, tele eller finans ved siden af en NIS 2-sektor: hvilke krav måler auditten efter?
- Både NIS 2 og CER: hvad hører til hvilken lov, når I er udpeget som kritisk enhed?
- Størrelsesberegningen efterprøvet: årsværk, omsætning, balance, koncernforbindelser og to år i træk
- Hovedforretningssted for en digital enhed: de tre trin i § 2, stk. 3
- Registreringen efterprøvet: sektorer, kontaktoplysninger, IP-intervaller og fristen for ændringer
- OT og produktionsanlæg i NIS2-auditten: IEC 62443-henvisningerne og vejledningens lempelser
NIS2: audit af kravene i § 6 og underretningen
- Audit af risikovurderingen: samfundsmæssig skade tæller med ved siden af jeres egen risikovillighed
- Audit af sikkerhedspolitikkerne: sammenhæng, godkendelse og vedligeholdelse
- Audit af hændelseshåndteringen: fra opdagelse til læring
- Kan I nå 24 timer, 72 timer og en måned? Audit af varsling og rapportering
- Audit af beredskabs- og kontinuitetsplanen
- Krisestyring og øvelser: hvad tæller som bevis for, at I har øvet?
- Audit af jeres leverandørstyring: det, I selv skal kunne vise
- Sikkerhed ved anskaffelse, udvikling og vedligeholdelse: hvad auditten ser efter
- Audit af sårbarhedshåndtering og opdatering
- Vurderer I selv, om foranstaltningerne virker? Kravet i § 6, stk. 1, nr. 6
- Audit af cyberhygiejne og uddannelse af medarbejdere
- Audit af kryptering og nøglehåndtering
- Personalesikkerhed: ansættelse, rolleskift og fratrædelse i auditten
- Audit af adgangsstyringen: tildeling, gennemgang og privilegerede konti
- Aktivregistret: forudsætningen for resten af auditten
- Nødkommunikation: kan I tale sammen, når systemerne er nede?
- Logning og overvågning: bevis for, at I opdager en hændelse
- Jeres egne tærskler for en væsentlig hændelse: findes de, og kan de forsvares?
- Underretning af kunderne efter § 15: kontaktlister, tekster og hvem der beslutter
- Tallene bag ledelsesrapporteringen: kan de spores til kilden?
- Har I vurderet behovet for redundans og nødstrøm?
- Beslutningen om tekniske test: er behov, typer og hyppighed fastlagt ud fra risikovurderingen?
- Baggrundskontrol efter tre regelsæt: vejledningen, forordningens punkt 10.2 og CER-loven
- Audit af backup og gendannelse: proceduren og testen, ledelsen bør godkende
- Audit af MFA: fjernadgang, administration og den dokumenterede gennemgang
- Fysisk adgang og miljø i NIS2-auditten: adgangskontrolpolitik, fysiske logs og besigtigelse
- Ledelsesorganets kurser som auditpunkt: kursusbevis, indhold og den samlede kompetence
- Udfasning og bortskaffelse af systemer: proceduren, tilsynet spørger til
- Hvem kan afgøre, om hændelsen er væsentlig? Kompetencer i huset eller på aftale
- Leverandøren underretter på jeres vegne: aftalen, ansvaret og auditten af arbejdsgangen
- Hændelsesunderretninger er ikke undtaget fra aktindsigt: skriv dem, så de tåler at blive læst
- Frivillig underretning og cybersikkerhedsfællesskaber: §§ 14 og 19 som auditpunkt
- Sektorens trusselsvurdering i risikovurderingen: er den brugt, og kan I vise det?
- NIS2 og ledelsen: hvad loven kræver, og hvad auditten ser efter
- Artikel 14 i auditten af hændelsesberedskabet: roller, adgang og øvelse
- Meldinger om sårbarheder udefra som auditområde: kanalen, politikken og sporet
NIS2: digitale enheder efter forordning 2024/2690
- MSP, cloud, hosting og datacenter: forordningen træder i stedet for lovens almindelige krav
- “Hvor det er relevant” og “i det omfang det er muligt”: de begrundelser, artikel 2, stk. 2, kræver
- Overvågning af overholdelse efter punkt 2.2: den rapportering, ledelsen skal have
- Uafhængig gennemgang efter punkt 2.3: hvem må udføre den, og hvad skal ledelsen have?
- Væsentlig hændelse efter forordningen: de generelle og de typebestemte tærskler og målingen bag dem
- Digitaliseringsstyrelsens vejledningsskema som auditprogram
- Koncern-IT eller udbyder af administrerede tjenester? De kriterier, auditten begynder med
- Domænenavnsregistrering: validering, verifikation og 72-timers fristerne i bekendtgørelse nr. 653
- Roller og ansvar efter punkt 1.2: direkte rapportering og adskillelse af modstridende opgaver
- Risikostyring efter punkt 2.1: behandlingsplanen, accept af restrisici og den årlige gennemgang
- Logning efter punkt 3.2: logkilder, opbevaring og tidssynkronisering
- Klassifikation af begivenheder og gennemgang efter hændelsen: punkt 3.4 og 3.6
- Forretningskonsekvensanalyse, backupplan og gendannelsestest efter punkt 4.1 og 4.2
- Udbyderens egne leverandører: politikken, kontraktpunkterne og fortegnelsen efter punkt 5
- Ændringsstyring efter punkt 6.4: nødændringer og stikprøver i ændringsloggen
- Patch og sårbarheder efter punkt 6.6 og 6.10: begrundelsen for den rettelse, I ikke installerer
- Netarkitektur og segmentering efter punkt 6.7 og 6.8: det, der skal være dokumenteret
- Privilegerede konti, administrationssystemer og identiteter efter punkt 11
- Aktiver efter punkt 12: klassifikation, mobile medier, fortegnelse og tilbagelevering
- Datacenter og hosting: forsyning, kontroltærskler og perimeter efter punkt 13
NIS2: tilsyn og håndhævelse
- Audit og tilsyn: samme materiale, forskellig hjemmel, pligt og konsekvens
- Tilsynet beder om dokumentation: skal en frivillig auditrapport med i svaret?
- Pålagt sikkerhedsaudit ved et kvalificeret uafhængigt organ: hvem vælger, hvem betaler, og hvad sker der med anbefalingerne?
- Varsel om påbud til en privat virksomhed: høringen efter § 26 og auditten, der dokumenterer svaret
- Hvad lægges der vægt på ved en bøde? Udmålingshensynene og audittens plads blandt dem
- Kontrol på stedet uden retskendelse: hvem tager imod, hvad vises frem, og hvad auditten kan øve
- Myndigheden vil offentliggøre jeres hændelse: høringen efter § 16 og kommunikationsplanen
- Tilsynsperson, offentliggørelse af afgørelsen og midlertidigt ledelsesforbud
- Scanning udefra: CSIRT’ens proaktive scanning (§ 17) og tilsynets sikkerhedsscanning
- Certificerede IKT-produkter efter § 8: når ministeren kan kræve dem
NIS2: sektorer og særlige anledninger
- NIS2-audit i fremstillingsvirksomheder: produktion, der ikke kan standses
- Kemikaliedistributør uden egen produktion: omfattet efter bilag 2, og hvad en audit dækker
- NIS2-audit i fødevareproduktion og engroshandel: Fødevarestyrelsens afgrænsning og værktøjer
- NIS2-audit i transport, private havnefaciliteter og post
- NIS2-audit i et rederi: beslutningstræet, ISM-koden og terminalen under en anden myndighed
- NIS2-audit hos private sundhedstjenesteydere og laboratorier
- Producent af medicinsk udstyr: vigtig enhed i bilag 2 eller væsentlig efter bilag 1?
- NIS2-audit i det forbrugerejede vandværk: tommelfingerreglen, bestyrelsen og styringen af anlægget
- Luftfartsselskab: NIS 2 og luftfartens regler om informationssikkerhed (Part-IS) i én audit
- Udpeget som kritisk enhed: hvad en audit kan nå, før CER-lovens forpligtelser gælder
- NIS 2 og CRA i fremstillingsvirksomheden: virksomhedens sikkerhed og produktets
- Efter en væsentlig hændelse: audit af de foranstaltninger, der skulle have virket
- Auditten finder en hændelse, ingen har underrettet om: hvad nu?
- Forslaget fra januar 2026: et certifikat for cybersikkerhedsniveau som bevis for NIS2-efterlevelse
- Small mid-cap i forslaget fra januar 2026: fra væsentlig til vigtig enhed?
- Lægemiddelproducent: NIS2-audit ved siden af kvalitetssystemets audits
- NIS2-audit i en privat affaldsvirksomhed
Senest gennemgået: november 2026.
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
Skal jeres sikkerhed gennemgås?
Skriv kort, hvad der skal auditeres, og hvad der sætter det i gang. Så vender jeg tilbage. Auditten er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
