NIS2-kravet om backup er kort. Vejledningen kræver procedurer, der sikrer backup af alle relevante data, også konfigurationsdata, i det omfang I finder nødvendigt. Resten, herunder test af gendannelse og godkendelse af testresultaterne, er anbefalinger og forslag.
En audit af backup på compliance-niveau ser derfor på proceduren, på beslutningerne bag den og på sporet efter testene. Om de enkelte job kører, og om en gendannelse virker teknisk, er en anden og mere teknisk gennemgang.
Kravet i loven og vejledningen
Backupstyring står i lovteksten som en del af punkt 3 om driftskontinuitet i § 6, stk. 1, sammen med reetablering efter en katastrofe. Den udførlige tekst om backup findes i afsnit 3.b i styrelsens vejledning om foranstaltningerne fra juni 2025.
Som krav skal enheden have procedurer, der sikrer backup af alle relevante data, herunder konfigurationsdata, i det omfang enheden finder det nødvendigt. Det er hele kravet.
Som forslag, der afhænger af risikovurderingen og planerne, nævner vejledningen genetableringstider og fuldstændighed, også for konfigurations- og clouddata. Den nævner lagring på et eller flere sikre steder, der er adskilt fra de systemer, data kommer fra, fx air-gapped, og i tilstrækkelig fysisk afstand. Den nævner fysisk og logisk adgangskontrol til backup, også under transport, en opbevaringsperiode, godkendelse af gendannelse, regelmæssige tjek af integritet og jævnlige test af backup og gendannelsesprocedurer.
Testen og godkendelsen
Vejledningen anbefaler, at enheden dokumenterer, at den med jævne mellemrum tester, at backup eller alternative metoder er fuldstændig, tilgængelig og har den fornødne integritet. Resultatet af testene bør dokumenteres og godkendes af den relevante ledelse.
Ordet er relevant ledelse. Det er fx IT-ledelsen eller den, der har ansvaret for driften. Det er ikke nødvendigvis ledelsesorganet, altså bestyrelsen eller direktionen efter lovens § 3, nr. 20. Titlens “ledelsen” skal læses sådan.
Godkendelsen er et “bør”. Har I valgt en anden ordning, skal I efter vejledningen kunne forklare tilsynet hvorfor. Hvordan “skal”, “bør” og “kan” bruges som kriterier, står i skal, bør og kan.
Produktionsanlæg og OT
Vejledningen har en særregel for OT, altså systemer, der styrer fysiske processer. Alternative gendannelsesmetoder kan accepteres, hvis de understøtter driftskontinuiteten. Eksemplerne er kopi af konfigurationsfiler, systemredundans og hurtig failover.
En audit hos en produktionsvirksomhed ser derfor efter, om den valgte metode er beskrevet og testet, og forventer ikke nødvendigvis en klassisk fuld backup af hver styring. Mere om OT står i OT og produktionsanlæg i NIS2-auditten.
Sådan efterprøver en audit backuppen
Fremgangsmåden er praksis.
Proceduren. Auditor beder om backupproceduren og ser, om den siger, hvilke data der tages backup af, og hvorfor. Konfigurationsdata nævnes udtrykkeligt i kravet og bliver let glemt.
Begrundelsen. Vejledningens forslag skal ikke alle gennemføres. Auditor ser efter, at I har taget stilling til dem ud fra risikovurderingen, fx om backup ligger adskilt fra produktionen, og hvor længe den gemmes. Et begrundet fravalg tæller lige så meget som et gennemført forslag, når begrundelsen står på skrift.
Clouddata. Data i tjenester, I køber, er en del af fuldstændigheden. Auditor spørger, hvordan I har sikret dem, og hvem der har ansvaret, hvis det er leverandøren. Det hænger sammen med driften er outsourcet.
Testen. Auditor beder om dokumentation for de seneste test: hvad der blev gendannet, hvornår, med hvilket resultat, og hvem der godkendte resultatet.
Sammenhængen. Auditor forventer, at genetableringstiderne i backuppen kan bære de tider, beredskabsplanen forudsætter. Står planen med en genopretning på timer, og testen viser dage, er det et fund.
Afstemning af de enkelte job og en egentlig gendannelsesprotokol er teknisk kontrol. Den metode er beskrevet under den tekniske audit af kontrolpunkterne.
Typiske svagheder
Nogle mønstre er almindelige. Proceduren beskriver serverne, men nævner ikke cloudtjenester. Testen er en enkelt fil gendannet for et år siden. Resultatet står i en mail og er aldrig godkendt. Backup og produktion deler administratorkonti, så et angreb på det ene rammer det andet.
Ingen af delene er nødvendigvis brud på et “skal”. De viser, at de anbefalinger, tilsynet forventer fulgt eller begrundet fravalgt, ikke er behandlet.
Hvad det kræver, og hvad det koster at lade være
En dokumenteret procedure og en test med godkendt resultat kræver en driftsansvarlig, et par timers arbejde pr. test og en fast plads til dokumentationen. Det tunge ligger i testen af en større gendannelse, fordi den kræver et sted at gendanne til.
Uden testen ved I ikke, om backuppen virker, før den skal bruges. Under en hændelse er det det dårligste tidspunkt at opdage det.
Det skal I lade være med
- At sige, at bestyrelsen skal godkende backuptest · vejledningen peger på den relevante ledelse.
- At glemme konfigurations- og clouddata · de nævnes udtrykkeligt i vejledningen.
- At regne en gendannet enkeltfil for en test af planen · den viser lidt om genetableringstiden.
Det skal auditten kunne vise
- ☐ En dokumenteret backupprocedure, der dækker relevante data og konfigurationsdata.
- ☐ Stillingtagen til vejledningens forslag om placering, adgang, opbevaring og integritet.
- ☐ Dokumentation for test af backup og gendannelse med dato og resultat.
- ☐ Den relevante ledelses godkendelse af testresultaterne.
- ☐ Sammenhæng mellem genetableringstider og beredskabsplanen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 3, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 3.b, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find dokumentationen for jeres seneste gendannelsestest, og se, hvem der har godkendt resultatet.
Læs også: Krisestyring og øvelser som bevis · Forretningskonsekvensanalyse, backupplan og gendannelsestest
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
