NIS 2-loven nævner multifaktorautentificering direkte, men med forbeholdet “hvor det er relevant”. Vejledningen gør det til et krav at bruge MFA eller kontinuerlig autentifikation, hvor det vurderes relevant, og at gennemgangen af brugen dokumenteres.
En audit af MFA på compliance-niveau ser derfor på to ting. Har I vurderet, hvor MFA er relevant, og passer vurderingen med vejledningens anbefalinger? Og kan I vise, at brugen gennemgås? Om MFA faktisk er slået til på hver konto, er en teknisk måling, der hører til en anden gennemgang.
Lovteksten og bemærkningerne
Punkt 10 i § 6, stk. 1, samler flere ting under ét forbehold om relevans. Det er multifaktorautentificering eller kontinuerlig autentificering, sikret kommunikation med tale, video og tekst og sikrede systemer til nødkommunikation. Multifaktorautentificering betyder, at en bruger skal vise mere end én slags bevis på sin identitet, fx noget man ved, noget man har, og noget man er.
Ifølge lovbemærkningerne, som styrelsens vejledning fra juni 2025 citerer i kapitel 10, skal enheder anvende MFA eller kontinuerlig autentifikation ved adgang til net- og informationssystemer i overensstemmelse med adgangskontrolpolitikken. MFA hænger altså sammen med adgangsstyringen.
Vejledningens afsnit 10.a
Kravet lyder, at brugere, IT-komponenter og andre aktiver skal autentificeres med MFA og/eller kontinuerlig autentifikation, hvor det vurderes relevant.
Anbefalingerne siger, at kravene bør fastlægges ud fra risikovurdering og klassifikation. MFA bør bruges ved fjernadgang, ved administrative systemer, ved følsomme eller fortrolige data og ved systemer med høj værdi.
Dokumentationskravet er et “skal”. Adgangskontrolpolitikken og brugen af MFA skal gennemgås med regelmæssige planlagte mellemrum eller ved større ændringer og hændelser, og gennemgangen skal dokumenteres. Vejledningen fastsætter ikke, hvor ofte.
Standardhenvisningerne til afsnittet er ISO/IEC 27001:2023 A.5.17 og A.8.5.
Hvor vurderingen ofte er tynd
Ordene “hvor det vurderes relevant” giver plads til et fravalg, men kun hvis det er vurderet. En audit vil derfor spørge efter selve vurderingen.
Vejledningens fire områder kan bruges som tjekliste for, om vurderingen er fuldstændig. Fjernadgang omfatter også leverandørers adgang til at drive jeres systemer. Administrative systemer omfatter konsoller til cloud, netudstyr og backup. Følsomme data og systemer med høj værdi er dem, risikovurderingen har udpeget.
Læg også mærke til, at kravet nævner IT-komponenter og andre aktiver ved siden af brugerne. Vurderingen kan derfor ikke stoppe ved medarbejdernes login. Den kan med fordel også tage stilling til, hvordan systemer og tjenester autentificerer sig over for hinanden, hvor risikoen taler for det.
Det er tolkning, men en vurdering, der fravælger MFA ved fjernadgang eller administration, vil være svær at forklare, fordi vejledningen nævner netop de områder. Vælges et “bør” fra, skal enheden efter vejledningen kunne forklare tilsynet hvorfor. Se skal, bør og kan.
Sådan efterprøver en audit MFA
Fremgangsmåden er praksis.
Politikken. Auditor ser, om adgangskontrolpolitikken siger, hvor MFA kræves, og om det bygger på risikovurdering og klassifikation.
Vurderingen af undtagelser. Hvor MFA ikke bruges, beder auditor om begrundelsen. Tjenestekonti, ældre systemer og nødadgang er typiske undtagelser, som auditor forventer at finde med en ejer og en begrundelse.
Gennemgangen. Auditor vil se, hvordan brugen af MFA sidst blev gennemgået, og hvor det står skrevet. Hvornår skete den? Hvad blev fundet? Hvad blev der gjort ved det? Udløste større ændringer eller hændelser en ekstra gennemgang, som vejledningen siger?
Stikprøven. Auditor kan vælge nogle få konti med fjernadgang eller administratorrettigheder og spørge, hvordan I ved, at MFA er krævet på netop dem. Selve udtrækket fra systemerne og målingen af dækningen hører til den tekniske gennemgang, beskrevet i tekniske stikprøver.
Leverandører og fjernadgang
Mange omfattede virksomheder får driften leveret udefra. Leverandørens adgang til jeres systemer er fjernadgang, og den er omfattet af jeres vurdering. Kravene kan stå i aftalen, og opfølgningen hører under leverandørstyringen.
En audit hos jer kan ikke kontrollere leverandørens egne systemer. Den kan kontrollere, at jeres krav er stillet, og at I har set dokumentation for, at de er opfyldt.
Hvad det kræver, og hvad det koster at lade være
En vurdering af, hvor MFA er relevant, kan for de fleste skrives på en side ud fra risikovurderingen. Gennemgangen tager mest tid første gang, når undtagelserne skal findes og begrundes. Derefter er det en fast opgave med planlagte mellemrum.
Uden en dokumenteret gennemgang kan I ikke vise tilsynet, at kravet er opfyldt, selv om MFA er slået til de fleste steder. Undtagelser uden ejer har det med at blive permanente.
Det skal I lade være med
- At sige, at MFA er overalt, uden at kende undtagelserne · auditten finder dem som det første.
- At glemme leverandørernes fjernadgang · den er en del af jeres vurdering.
- At springe dokumentationen af gennemgangen over · den er et krav i vejledningen.
Det skal auditten kunne vise
- ☐ En adgangskontrolpolitik, der fastlægger, hvor MFA kræves, ud fra risiko og klassifikation.
- ☐ Stillingtagen til fjernadgang, administrative systemer, følsomme data og systemer med høj værdi.
- ☐ En liste over undtagelser med begrundelse og ejer.
- ☐ Dokumentation for den seneste gennemgang af brugen af MFA med dato.
- ☐ Krav til leverandørers fjernadgang og jeres opfølgning på dem.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 10, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 10.a, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de konti og systemer op, hvor MFA ikke er krævet i dag, og sæt en begrundelse og en ejer ud for hver.
Læs også: Privilegerede konti efter punkt 11 · Nødkommunikation
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
