En audit af hændelseshåndteringen følger sporene fra hændelser, I faktisk har haft, og fra de øvelser, I har holdt. Proceduren læses også. Sagerne viser, om den bliver brugt fra opdagelse over inddæmning og genopretning til den læring, der kommer bagefter.
Har I ikke haft nogen alvorlige hændelser, er de mindre sager og øvelserne stadig et spor. Har I ingen af delene, er det i sig selv et fund.
Kravet bag
Hændelseshåndtering er nummer to blandt de ti foranstaltninger i lovens § 6, stk. 1. Loven definerer håndtering af hændelser i § 3, nr. 13, som enhver handling og procedure, der tager sigte på at forebygge, opdage, analysere og inddæmme eller at reagere på og reetablere sig efter en hændelse.
Af lovbemærkningerne, som står gengivet hos Styrelsen for Samfundssikkerhed, fremgår det, at der skal være procedurer for hændelser, og at enhederne i fornødent omfang skal logge og monitorere.
Vejledningen har to “skal” under punktet. Det første er procedurer, fx i en beredskabsplan, for at identificere, opdage, analysere og reagere på hændelser, genoprette sikker og stabil drift og håndtere underretningspligterne. Det andet er adgang til kompetencer, i huset eller via aftale med en tredjepart, der kan vurdere, om en hændelse er væsentlig, og hvor alvorlig den er. Det sidste har sin egen artikel om kompetencer til at vurdere hændelser.
Proceduren skal desuden foreligge på skrift med en godkendelse fra den relevante ledelse.
Det, vejledningen anbefaler
Resten står som “bør”. Proceduren bør fordele roller og ansvar for hele forløbet: forebygge, opdage, analysere, inddæmme, genoprette, dokumentere og rapportere. Der bør være en let vej, hvor medarbejdere, leverandører og kunder kan melde noget mistænkeligt. Enheden bør reagere rettidigt.
To anbefalinger er særligt vigtige for auditten. Efter en væsentlig hændelse bør enheden gennemføre en gennemgang og finde den grundlæggende årsag. Og procedurerne bør testes med planlagte mellemrum. Har I valgt en af dem fra, skal I kunne begrunde det. Hvordan et “bør” bliver til et auditkriterium, står i skal, bør og kan.
Hvad auditor leder efter i proceduren
Auditor læser proceduren med fire spørgsmål. Er hvert trin i forløbet dækket? Står der navne eller roller ved hvert trin? Er der en kobling til underretningen til myndigheden? Og er der en beskrivelse af, hvordan man går fra en almindelig fejl til en hændelse, der skal håndteres efter proceduren?
Den sidste kobling er værd at se efter. En virksomhed kan have en servicedesk, der løser fejl hurtigt, og en beredskabsplan til det store nedbrud, uden at nogen har skrevet ned, hvornår man går fra det ene til det andet.
Sporene fra hændelser og øvelser
Selve beviset ligger i sagerne. Auditor beder om en liste over hændelser i en periode og vælger et par af dem. Metoden kaldes at følge en sag fra start til slut og er almindelig auditpraksis.
For hver sag ser auditor efter tidspunktet for opdagelsen, hvem der blev involveret, hvornår den blev vurderet, hvad der blev gjort for at inddæmme den, og hvornår driften var genoprettet. Til sidst ser auditor efter, om der er skrevet en evaluering, og om den har ført til en ændring i proceduren, en opsætning eller en uddannelse.
Hvis jeres driftsleverandør håndterer en del af forløbet, skal leverandørens spor med. Kravene gælder, uanset om I driver systemerne selv eller har outsourcet driften, skriver vejledningen. Fordelingen mellem jeres del og leverandørens del er beskrevet i audit af outsourcet drift. Hvad I kan kræve af leverandøren og efterprøve hos den, er emnet for audit af IT-leverandøren.
Øvelser giver et spor, selv når der ikke har været hændelser. En øvelse, der er dokumenteret med scenarie, deltagere og evaluering, viser, at proceduren kan bruges. Det uddybes i øvelser som bevis.
Logning er forudsætningen
Bemærkningerne til loven binder hændelseshåndtering og logning sammen. De beder om, at ingen kan pille ved logdata eller læse dem uden lov. Uden logs er det svært at fastslå, hvornår en hændelse begyndte, og hvad der skete. Auditor ser derfor efter, om de sager, der er udvalgt, faktisk kunne efterforskes med de logs, I har. Logningen har sin egen artikel om logning og overvågning.
Hvad det kræver, og hvad det koster at lade være
Forberedelsen består i at samle hændelseslisten for det seneste år, finde evalueringerne frem og tjekke, at proceduren har en godkendelse fra den relevante ledelse. Mangler evalueringerne, kan de sjældent skrives bagefter, så det, der kan nås, er at begynde nu.
Uden sporene står proceduren alene som påstand. Den, der skal vurdere, om en hændelse var væsentlig, har heller intet at bygge på, når det går stærkt, og de samme fejl vender tilbage, fordi ingen har set på årsagen.
Det skal I lade være med
- At lukke en sag uden en evaluering · uden den mister I læringen og auditten sporet.
- At holde servicedesk og beredskab helt adskilt · overgangen fra fejl til hændelse skal være beskrevet.
- At overlade hele forløbet til leverandøren · procedurekravet gælder også, når driften er outsourcet.
Det skal auditten kunne vise
- ☐ En dokumenteret procedure for hændelseshåndtering, godkendt af den relevante ledelse.
- ☐ Roller og ansvar for hvert trin fra opdagelse til rapportering.
- ☐ En liste over hændelser og en evaluering af de væsentlige med den grundlæggende årsag.
- ☐ Mindst én dokumenteret test eller øvelse af proceduren, eller en begrundelse for, at den mangler.
- ☐ Adgang til kompetencer, der kan vurdere, om en hændelse er væsentlig.
- ☐ Logs, der gjorde det muligt at rekonstruere de udvalgte sager.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3 og 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 8 og 15-17, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de tre seneste hændelser frem, og se efter, om hver af dem har en evaluering med en årsag og en ændring.
Læs også: Audit af beredskabsplanen · Jeres egne tærskler for en væsentlig hændelse
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
