Auditten af kryptering stiller tre spørgsmål. Har I en politik for kryptografi, der bygger på klassifikationen af jeres data og på risikovurderingen? Bruges kryptering der, hvor politikken siger det? Og ved nogen, hvem der har ansvaret for nøglerne, og hvad der sker, når en nøgle skal skiftes eller er kompromitteret?
Kryptering er en teknik, der gør data ulæselige for andre end dem, der har nøglen. Nøglen er derfor lige så vigtig som algoritmen.
Kravet
NIS 2-lovens § 6, stk. 1, nr. 8, nævner politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering.
To “skal” står i den vejledning, Styrelsen for Samfundssikkerhed udgav i juni 2025. Det første er en politik med procedurer for kryptografi, der følger klassifikationen af aktiverne og risikovurderingen og passer til det aktuelle teknologiske stade. Det andet er, at kryptografi tages i brug alle de steder, hvor klassifikation og risikovurdering kræver det.
Kravet er altså bundet til klassifikationen. Har I ikke klassificeret jeres data og systemer, har politikken ikke noget at stå på. Klassifikation hører under forvaltning af aktiver og er beskrevet i aktivregistret.
Hvad politikken kan indeholde
Vejledningen giver en “kan”-liste. Politikken kan beskrive tilladte protokoller, algoritmer og nøglelængder og godkendte løsninger. Den kan beskrive nøglehåndteringen med generering, udstedelse af certifikater, distribution, opbevaring, skift, håndtering af kompromitterede nøgler, tilbagekaldelse, gendannelse, backup, sletning, revision af nøgleaktiviteter, datoer for aktivering og deaktivering og anmodninger fra retsinstanser.
Listen er lang, og ingen auditor kan kræve den hele. Auditor kan bruge den som tjekliste og spørge, hvor jeres politik står på hvert punkt, og om fravalgene er bevidste.
Brugen
Næste del af auditten er at se, om politikken følges. Den del er auditpraksis, som vejledningen ikke beskriver.
Auditor tager udgangspunkt i klassifikationen og vælger et par aktiver med høj klassifikation. Hvor ligger data? Er de krypteret, når de er gemt, og når de sendes? Er det den løsning, politikken godkender? Svarene kan komme fra dokumentation, fra interview med den systemansvarlige eller fra skærmbilleder af opsætningen.
Om krypteringen faktisk er sat rigtigt op på servere, databaser og forbindelser, er en teknisk kontrol, som hører under den tekniske gennemgang af kryptering og opsætning. I denne audit ser auditor efter, om politikken bliver brugt som grundlag for beslutningerne.
Nøglerne
Spørgsmålene om nøglerne er enkle at stille og svære at svare på uden forberedelse.
Hvem har ansvaret for hver type nøgle eller certifikat? Hvor opbevares de? Hvem har adgang til dem? Hvornår udløber de næste certifikater, og hvem får besked? Hvad gør I, hvis en nøgle er kompromitteret? Er der backup af nøglerne, så krypterede data kan gendannes?
Auditor beder om en oversigt over nøgler og certifikater, eller den måde, I holder styr på dem. Et udløbet certifikat, der stopper en tjeneste, er en hændelse, der kan undgås med en enkel oversigt. Er gendannelse af nøgler ikke beskrevet, kan en backup vise sig ubrugelig, og det hænger sammen med audit af backup.
Ajourføring
Vejledningen anbefaler, at dokumentationen gennemgås med planlagte intervaller og ved fx brudte algoritmer. Viser en gennemgang sårbarheder, skal dokumentation og løsninger opdateres. Det er et “skal” i vejledningen.
Auditor ser efter datoen for seneste gennemgang og spørger, om algoritmer eller protokoller er udfaset siden. Vejledningen har et tænkt eksempel med en transportvirksomhed, hvor styrelsen stiller spørgsmål om bl.a. TLS 1.3, hardware- eller nøgletjenester til opbevaring af nøgler og kryptografi, der kan modstå kvantecomputere. Det er eksempelspørgsmål og ikke krav. De viser, hvilke emner en myndighed tænker på.
Hvad det kræver, og hvad det koster at lade være
Det kræver en klassifikation af data og systemer, en politik, der knytter kryptering til klassifikationen, og en oversigt over nøgler og certifikater med ejere. Har I klassifikationen i forvejen, er politikken overskuelig. Mangler den, er klassifikationen første opgave.
Uden politikken krypteres der efter vane, og ingen ved, om de vigtigste data er beskyttet. Uden styr på nøglerne kan et udløbet certifikat eller en tabt nøgle stoppe en tjeneste eller gøre data utilgængelige.
Det skal I lade være med
- At skrive en krypteringspolitik uden klassifikation · vejledningen binder kryptografien til klassifikation og risikovurdering.
- At lade certifikater udløbe uden ejer · en oversigt med ansvarlige forebygger det.
- At glemme backup af nøglerne · krypterede data uden nøgle kan ikke gendannes.
Det skal auditten kunne vise
- ☐ En politik for kryptografi, der bygger på klassifikation og risikovurdering.
- ☐ Kryptering på de aktiver, hvor klassifikationen kræver det.
- ☐ En oversigt over nøgler og certifikater med ejer og udløbsdato.
- ☐ En procedure for kompromitterede nøgler og for gendannelse af nøgler.
- ☐ En dato for seneste gennemgang af politikken og opdateringer efter fundne svagheder.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 8 og eksemplet med transportvirksomheden, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de certifikater, der udløber inden for det næste halve år, og skriv ud for hvert, hvem der fornyer det.
Læs også: Audit af adgangsstyringen · Nødkommunikation
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
