En NIS2-audit af adgangsstyringen tager stikprøver i tre led. Den ser på, hvordan en rettighed bliver tildelt og godkendt, om rettighederne bliver gennemgået, og hvordan de privilegerede konti er styret. De privilegerede konti er dem med administratorrettigheder, som kan ændre systemerne selv.
Her kan politik og virkelighed let glide fra hinanden, fordi der hele tiden sker små ændringer, som ingen samler op.
Kravet i loven og vejledningen
Politikker for adgangskontrol står i loven under § 6, stk. 1, nr. 9.
Efter Styrelsen for Samfundssikkerheds vejledning fra juni 2025 skal enheden have en politik, der styrer, hvordan rettigheder gives, ændres og fjernes. Mindstekravet til politikken er en vurdering af risici ved den logiske og den fysiske adgang, altså adgang til både systemer og bygninger. Den skal dække både personers og processers adgang, fx servicekonti, som systemer bruger til at tale med hinanden. Og den skal indeholde procedurer for styring af rettigheder, herunder administration af privilegerede adgangsrettigheder.
Den fysiske side har sin egen artikel om fysisk adgang og miljø.
Anbefalingerne
Vejledningen anbefaler, at enheden begrænser og kontrollerer de systemer, der bruges til at administrere IT. Identiteter bør styres og dokumenteres, så det fremgår, hvem der har adgang, og hvorfor. Autentificeringen bør være sikret. Politikkerne bør gennemgås med passende planlagte mellemrum.
Vejledningen fastsætter intet interval for, hvor ofte rettighederne skal gennemgås. Auditor holder jer derfor op mod jeres eget interval. Har I intet fastsat, er det et fund i sig selv. Det er en tolkning af anbefalingen og almindelig auditpraksis.
Tildelingen
Arbejdsmetoden herunder er auditpraksis.
Auditor beder om nogle nyligt oprettede brugere og nogle nyligt tildelte rettigheder. For hver ser auditor efter en anmodning, en godkendelse fra den, der ifølge politikken må godkende, og en sammenhæng mellem rettigheden og personens rolle. Fandtes der ingen anmodning, eller godkendte brugeren sig selv, er det et fund.
Tildelingen hænger sammen med personalesikkerheden, hvor auditor følger hele forløbet fra ansættelse til fratrædelse. Det er beskrevet i personalesikkerhed.
Gennemgangen
Den periodiske gennemgang af rettigheder er det, der fanger de ændringer, der glider forbi. En leder får en liste over sine medarbejderes rettigheder og bekræfter eller fjerner dem.
Spor fra sidste runde er det, auditor vil se. Hvem fik listen? Hvornår svarede de? Blev noget fjernet, og blev det faktisk fjernet i systemet? En gennemgang, hvor alle bekræfter alt, kan være rigtig. Den kan også være en formalitet. Auditor tager et par af de bekræftede rettigheder og spørger, hvorfor de er nødvendige.
De privilegerede konti
Vejledningen nævner administration af privilegerede adgangsrettigheder i selve “skal”-sætningen. Det gør dem til et naturligt fokus for auditten.
Auditor spørger, hvor mange administratorkonti der findes, hvem der har dem, og om de er personlige. Bruges de kun til administration, eller bruger nogen samme konto til mail og internet? Kræver de flerfaktorgodkendelse? Er der en nødkonto, og hvem har adgang til den? Bliver aktiviteten på kontiene logget? Vejledningen anbefaler også, at de systemer, der bruges til at administrere IT, begrænses og kontrolleres. Auditor spørger derfor, hvorfra administratorerne logger på, og hvordan selve administrationsværktøjerne er beskyttet.
Flerfaktorgodkendelse har sin egen artikel om audit af MFA, og logningen af privilegerede konti står i logning og overvågning.
Selve udtrækket af konti og rettigheder fra katalogtjenester og systemer, og kontrollen af, at udtrækket er fuldstændigt, er teknisk arbejde. Det beskrives under den tekniske gennemgang af konti og rettigheder. Denne artikel holder sig til politikken, godkendelserne og sporet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en politik, der siger, hvem der godkender hvilke rettigheder, et fast interval for gennemgang, som I kan holde, og en oversigt over de privilegerede konti med ejer. Den første gennemgang tager tid, fordi den rydder op. De følgende er lettere.
Uden styringen vokser rettighederne, og ingen kan sige, hvem der har adgang til hvad. Ved en hændelse er det svært at begrænse skaden, og i auditten er det svært at vise, at politikken følges.
Det skal I lade være med
- At skrive et interval for gennemgang, I ikke når · jeres eget interval bliver målestokken.
- At lade administratorer bruge samme konto til hverdag og drift · politikken skal have procedurer for de privilegerede rettigheder.
- At glemme servicekontiene · politikken skal dække processers adgang.
Det skal auditten kunne vise
- ☐ En politik for tildeling, ændring og fjernelse af rettigheder, der dækker personer, processer og privilegerede konti.
- ☐ Godkendelser for udvalgte nye rettigheder.
- ☐ Dokumentation for seneste gennemgang af rettigheder og de ændringer, den førte til.
- ☐ En oversigt over privilegerede konti med ejer og formål.
- ☐ En risikovurdering af logisk og fysisk adgang.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 9.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tæl jeres administratorkonti, og skriv ejeren ud for hver. Konti uden ejer er det første, der skal tages stilling til.
Læs også: Aktivregistret · Stikprøver i en audit
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
