En NIS2-audit af risikovurderingen spørger først, om vurderingen regner med de skader, en hændelse kan påføre andre end virksomheden selv. Bagefter ser den efter, om alle slags farer er med, og om en navngiven risikoejer har accepteret resultatet, planen og den risiko, der er tilbage.
Mange virksomheder har en risikovurdering skrevet til bestyrelsen, der måler tab i egen økonomi og omdømme. NIS 2-loven beder om et bredere blik.
Kravet i loven og i vejledningen
NIS 2-lovens § 6, stk. 1, siger, at væsentlige og vigtige enheder skal træffe passende og forholdsmæssige foranstaltninger for at styre risiciene for de net- og informationssystemer, de bruger. Første punkt på listen er politikker for risikoanalyse og informationssystemsikkerhed (§ 6, stk. 1, nr. 1).
Punktet er foldet ud af Styrelsen for Samfundssikkerhed i den vejledning om foranstaltningerne, der udkom i juni 2025. Vejledningen bruger tre ord med hver sin vægt. “Skal” er krav, og enheden skal kunne fremlægge dokumentation. “Bør” er en anbefaling, og et fravalg skal kunne forklares. “Kan” er et eksempel. Forskellen er forklaret i skal, bør og kan.
Under risikostyring står fire ting som “skal”. Enheden skal etablere og vedligeholde en politik for risikostyring, der identificerer og adresserer alle de relevante risici. Den skal gennemføre og dokumentere risikovurderinger. Den skal implementere risikohåndteringsplanen og revurdere den regelmæssigt. Og risikoejeren skal acceptere tre ting, nemlig resultatet af vurderingen, den planlagte håndtering og den risiko, der er tilbage. Accepten gælder ifølge vejledningen primært samfundsrisici, og bestyrelsen eller det andet ledelsesorgan skal holdes orienteret i passende omfang.
Skaden på samfundet er det nye i vurderingen
Vejledningen beskriver loven som risikobaseret. Enheden skal vurdere, hvor kritiske systemerne er, og hvilke samfundsmæssige og økonomiske skader en hændelse kunne give. Styrelsen skriver selv, at det afviger fra den mere traditionelle betragtning, hvor risikoappetit måles mod enhedens økonomi, omdømme og ansvar over for bestyrelsen.
For auditor betyder det et konkret spørgsmål til hver væsentlig risiko. Hvem uden for huset mærker det, hvis tjenesten står stille? Et tænkt eksempel er en grossist, hvis lagersystem går ned, så butikker i flere kommuner står uden varer i en uge. Et tab målt i egen omsætning fanger ikke den skade.
Auditor ser derfor efter, om vurderingen har en kolonne, et kriterium eller en skala for konsekvenser for kunder, borgere og samfund. Står den ikke der, er det et fund, selv om resten af vurderingen er grundig. Den læsning er en tolkning af vejledningen. Den følger ordlyden i kravet om accept.
Alle farer tæller med
Loven bygger efter vejledningen på “alle farer”. Fejl begået af maskiner eller mennesker hører med, det samme gør vejret, fx et skybrud, og bevidste handlinger som et cyberangreb.
En risikovurdering, der kun handler om hackere, er derfor smal. Auditor går scenarielisten igennem og ser efter strømsvigt, vand i kælderen, en fejlkonfiguration og en medarbejder, der sletter det forkerte. Hvis jeres sektor har en trusselsvurdering, ser auditor også efter, om den er brugt. Det har sin egen artikel om sektorens trusselsvurdering.
Det, vejledningen anbefaler om metoden
Vejledningen anbefaler, at enheden fastlægger en proces for risikostyring, der er en del af den samlede risikostyring. Den bør omfatte trusler fra tredjepart som leverandører, have kriterier for at evaluere risici og pege risikoejere ud med et dokumenteret ansvar.
Metoden kan efter vejledningen omfatte single points of failure, altså steder, hvor én fejl stopper det hele. Den kan også omfatte en analyse af trussel, sandsynlighed og konsekvens, en prioritering af foranstaltninger og en begrundelse for, hvorfor en restrisiko er accepteret. Politikken bør ajourføres med planlagte mellemrum og ved store ændringer. Dokumentation af politikken og godkendelse fra den relevante ledelse er et “skal”.
Auditor kan ikke kræve en bestemt metode. Auditor kan kræve, at den valgte metode er beskrevet og fulgt, og at fravalgte anbefalinger er begrundet.
Sådan arbejder auditor med punktet
Arbejdsformen herunder er almindelig auditpraksis. Loven og vejledningen foreskriver den ikke.
Auditor læser politikken og den seneste vurdering og ser på datoerne. Derefter vælges et par risici som stikprøver. Hver risiko spores fra analysen til planen, fra planen til den foranstaltning, der blev indført, og videre til risikoejerens accept. Et interview med risikoejeren viser, om accepten er en underskrift eller en beslutning, personen kan forklare.
Til sidst kigger auditor efter rapporteringen til ledelsesorganet. Har selskabet både bestyrelse og direktion, er ledelsesorganet bestyrelsen (§ 3, nr. 20). Et referat, der nævner restrisiciene, er et bedre spor end en præsentation uden dato. Mangler ejeren, er der et kendt mønster, som står i foranstaltninger uden ejer.
Styrelsen har i et spørgeskema til kommunerne i maj 2026 spurgt, om politikken tager højde for risici for samfundet. Skemaet er stilet til kommuner. Hvad en privat virksomhed møder, kan man ikke læse ud af det.
Krydsreference til standarderne
Vejledningen henviser under risikostyring til ISO/IEC 27001:2023 afsnit 6.1.2 og 6.1.3, NIST CSF 2.0 ID.RA og DS/IEC 62443-2-1:2011 afsnit 4.2.3. Arbejder I efter en af dem, kan henvisningen spare tid i auditten. En fulgt standard er stadig ingen sikkerhed for, at loven er opfyldt.
Hvad det kræver, og hvad det koster at lade være
At gøre risikovurderingen auditklar kræver, at den risikoansvarlige og de vigtigste risikoejere sætter sig sammen og tilføjer samfundsskaden som konsekvens. Derefter skal accepten skrives ned, og ledelsesorganet skal have den forelagt. Har I en vurdering i forvejen, er det en tilføjelse til den.
Uden den del står risikovurderingen svagt over for tilsynet, fordi accepten af restrisiko skal ske netop i relation til samfundsrisici. Alle andre foranstaltninger hviler også på vurderingen. Er den skæv, kan prioriteringen af resten være det.
Det skal I lade være med
- At måle konsekvens alene i egne kroner · vejledningen beder om skaden uden for huset.
- At lade IT-afdelingen acceptere alle restrisici · accepten hører hos risikoejeren og skal rapporteres til ledelsesorganet.
- At kalde en scenarieliste med kun cyberangreb fuldstændig · loven bygger på alle farer.
Det skal auditten kunne vise
- ☐ En dokumenteret og godkendt politik for risikostyring med en beskrevet metode.
- ☐ En dateret risikovurdering, hvor konsekvenser for kunder og samfund er vurderet.
- ☐ Scenarier for tekniske fejl, menneskelige fejl, miljø og bevidste handlinger.
- ☐ En risikoejer pr. væsentlig risiko og en skriftlig accept af plan og restrisiko.
- ☐ Et referat eller en rapport, der viser, at ledelsesorganet har fået restrisiciene forelagt.
- ☐ Begrundelser for de anbefalinger, I har valgt fra.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9 og 11-14, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, 19. maj 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres tre største risici, og skriv for hver af dem, hvem uden for virksomheden der mærker det, hvis risikoen bliver til virkelighed.
Læs også: Risikoaccept og pligten i § 6, stk. 2 · Vurderer I selv, om foranstaltningerne virker?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
