Auditten af uddannelsen går fra deltagerlisten til spørgsmålet om, hvorvidt træningen virker. Vejledningen til NIS 2-loven anbefaler, at programmets effektivitet vurderes, og det er den anbefaling, der flytter auditten væk fra at tælle gennemførte kurser.
Cyberhygiejne er de grundlæggende vaner og indstillinger, der holder systemerne sunde: opdateringer, stærke adgangskoder, backup, begrænsede rettigheder. Uddannelse er den del, der handler om medarbejderne.
Lovens punkt
Syvende punkt i lovens § 6, stk. 1, samler cyberhygiejne og uddannelse. Ledelsesorganet har desuden sin egen pligt i § 7, stk. 2. Dets medlemmer skal selv på kursus og skal tilskynde til, at resten af personalet får lignende tilbud. Ledelsens egne kurser har deres egen artikel om ledelsesorganets kurser som auditpunkt.
Hygiejnen
Om hygiejnen er Styrelsen for Samfundssikkerheds vejledning fra juni 2025 kortfattet. Enheden skal indføre de relevante grundlæggende praksisser og tage afsæt i sin politik.
Derefter følger en liste over “bør”, som hver henviser til et andet kapitel i vejledningen. Den omfatter bl.a. backup og test af den, opdateringer, beskyttelse mod skadelig software, segmentering, automatiserede sårbarhedsscanninger, brugertræning, kryptering efter klassifikation, begrænsede administratorrettigheder, stærke adgangskoder, flerfaktorgodkendelse efter klassifikation, begrænsede porte og tjenester og en fortegnelse over hardware og software.
For auditten fungerer listen som et register. Hvert punkt bliver kontrolleret under sit eget kapitel, fx i audit af adgangsstyringen, audit af backup og aktivregistret. Under hygiejnen ser auditor efter, om I har taget stilling til hele listen, og om fravalg er begrundet.
Uddannelsen
Om uddannelse har vejledningen ét “skal”: enheden skal have en politik for uddannelse af medarbejdere.
Anbefalingerne er tre. Træningen bør være relevant for jobfunktionen. Uddannelsen bør være regelmæssig og dokumenteret. Og programmets effektivitet bør vurderes.
Vejledningen giver eksempler på, hvad uddannelsen kan dække: hygiejne, orientering om aktuelle trusler, konkret træning i, hvad man gør ved en hændelse, med scenarier fra risikovurderingen, og grunduddannelse ved ansættelse og ved skift af rolle.
Fra deltagerliste til adfærd
En deltagerliste er et gyldigt spor. Den viser, at uddannelsen er dokumenteret. Den viser intet om, hvorvidt medarbejderne opfører sig anderledes bagefter.
Hvordan effektiviteten vurderes, siger vejledningen ikke. Det er praksis, og her er nogle af de spor, en auditor kan bruge:
- Resultater fra phishingøvelser over tid, altså simulerede svindelmails, hvor det måles, hvor mange der klikker, og hvor mange der melder mailen.
- Antallet af meldinger om mistænkelige hændelser fra medarbejdere, før og efter en indsats.
- Små test efter et kursus, der viser, om indholdet er forstået.
- Fund fra hændelser, hvor en medarbejders handling var en del af forløbet, og om de fund er brugt i næste runde træning.
Auditor kigger især efter, om resultaterne fører til noget. Bliver træningen ændret, når en gruppe klikker mere end andre? Får nye medarbejdere grunduddannelsen, før de får adgang til systemerne?
At følge kulturen og vanerne i huset gennem flere år er en opgave for en vurdering af sikkerhedsmodenhed. Her handler det om, hvad auditten ser i dag.
Træning efter jobfunktion
Anbefalingen om, at træningen skal passe til jobfunktionen, giver auditor et konkret spørgsmål. Får administratorer med privilegerede rettigheder anden træning end resten? Får dem, der behandler fakturaer, træning i svindel med betalinger? Får de, der vurderer hændelser, træning i underretningspligten?
Auditor tager et par medarbejdere i forskellige roller som stikprøve og ser, hvilken træning de har fået. Rolleskift er et særligt punkt, fordi vejledningen nævner grunduddannelse ved rolleskift. Det hænger sammen med personalesikkerheden.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort politik for uddannelse, en plan, der skelner mellem roller, og en måde at se, om træningen virker. Har I allerede et kursusprogram, er opgaven især at koble resultaterne til næste runde.
Lader I det ligge, har I kun deltagerlister at vise tilsynet, og I ved ikke, om den tid, der bruges på træning, flytter noget. De medarbejdere, der har mest adgang, får måske den samme generelle træning som alle andre.
Det skal I lade være med
- At måle træning i gennemførte kurser alene · vejledningen anbefaler, at effektiviteten vurderes.
- At give administratorer samme kursus som resten · træningen bør passe til jobfunktionen.
- At bruge phishingøvelser til at udstille enkeltpersoner · formålet er læring, og meldingerne er lige så vigtige som klikkene.
Det skal auditten kunne vise
- ☐ En politik for uddannelse af medarbejdere.
- ☐ En stillingtagen til hele vejledningens liste over cyberhygiejne med begrundede fravalg.
- ☐ En plan, der skelner mellem roller, inklusive privilegerede brugere.
- ☐ Dokumentation for, at uddannelsen gennemføres regelmæssigt.
- ☐ En vurdering af programmets effektivitet og ændringer, den har ført til.
- ☐ Grunduddannelse ved ansættelse og ved rolleskift.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 7.a og 7.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag tre medarbejdere i hver sin rolle, og skriv op, hvilken træning hver af dem har fået det seneste år.
Læs også: Ledelsesorganets kurser som auditpunkt · Vurderer I selv, om foranstaltningerne virker?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
