Auditten af sårbarhedshåndteringen måler jer mod de frister og regler, I selv har fastsat, fordi loven og vejledningen ikke sætter nogen frist i dage. Den ser efter, om I får besked om sårbarheder, vurderer dem, handler eller dokumenterer, hvorfor I ikke gør, og om de undtagelser, I har givet, stadig er begrundede.
Værktøjerne, der finder sårbarhederne, er én del af billedet. Auditten ser på sporet af, hvad I gjorde ved dem.
Lovkravet
I § 6, stk. 1, nr. 5, er sårbarheder lagt ind under punktet om at erhverve, udvikle og vedligeholde systemer. Både håndteringen og offentliggørelsen er nævnt. En sårbarhed er en svaghed i et system, som en angriber kan udnytte.
I den vejledning, Styrelsen for Samfundssikkerhed udsendte i juni 2025, er der ét “skal” for sårbarheder: enheden skal have procedurer for håndtering af sårbarheder, der indhenter oplysninger om tekniske sårbarheder, evaluerer eksponeringen og træffer passende foranstaltninger.
Anbefalingerne, auditten bruger som kriterier
Resten er “bør”, og et fravalg skal kunne begrundes. Hvordan det fungerer i en audit, står i skal, bør og kan.
Enheden bør følge kilder som CSIRT’en, myndigheden og leverandørerne. Den bør implementere proceduren eller dokumentere, hvorfor en sårbarhed ikke kræver udbedring. Den bør udføre sårbarhedsscanninger med regelmæssige planlagte mellemrum og ved større ændringer og dokumentere resultatet. Kritiske sårbarheder bør håndteres uden unødige forsinkelser. Og håndteringen bør hænge sammen med ændringsstyringen og hændelseshåndteringen.
Vejledningen nævner også, at enheden kan have en politik for koordineret offentliggørelse af sårbarheder, på engelsk coordinated vulnerability disclosure. Det er en fremgangsmåde for, hvordan I tager imod og håndterer meldinger om sårbarheder fra udenforstående. Kender I til en sårbarhed, der ikke er offentligt kendt, bør den efter vejledningen videregives til CSIRT’en, hvor det er relevant.
Ingen frist i dage
Vejledningen fastsætter ingen frist for, hvor hurtigt en opdatering skal installeres. Der står “uden unødige forsinkelser” om kritiske sårbarheder, og resten overlades til enheden.
Det betyder, at jeres egne frister bliver kriteriet. Har I skrevet, at kritiske opdateringer installeres inden for et bestemt antal dage, måler auditor jer på det. Har I intet skrevet, er det første fund, at der ingen målestok er. Den læsning er en tolkning af vejledningen og almindelig auditpraksis.
Undtagelserne
De mest interessante papirer i en audit af sårbarhedshåndteringen er undtagelserne. Et system, der ikke kan opdateres, fordi leverandøren ikke understøtter det, eller fordi en opdatering vil stoppe produktionen, får en undtagelse. Vejledningen anbefaler, at begrundelsen dokumenteres.
Auditor beder om listen over undtagelser og vælger nogle af dem. For hver ser auditor efter, hvem der godkendte undtagelsen, hvornår, hvilke kompenserende foranstaltninger der blev indført, og hvornår undtagelsen skal vurderes igen. En undtagelse uden udløbsdato bliver let permanent, uden at nogen har besluttet det.
Har en undtagelse en restrisiko, hører den hos en risikoejer. Det hænger sammen med audit af risikovurderingen og med risikoaccept.
Scanningerne og resultaterne
Auditor ser efter, om der er scannet med de intervaller, I har fastsat, og om resultaterne er gemt. Derefter tages et par fund fra en scanning som stikprøve og følges. Blev de vurderet, rettet eller undtaget, og kan det ses hvornår?
Selve målingen på maskinerne, altså om opdateringerne faktisk sidder der, er teknisk arbejde. Den del er beskrevet under den tekniske gennemgang af opdateringer og opsætning. Denne artikel holder sig til proceduren, fristerne og sporet.
OT og produktionsanlæg
Vejledningen tager højde for anlæg til styring af produktion og forsyning, også kaldet OT. Aktive scanninger af OT-miljøer kan give forstyrrelser eller nedetid. Vejledningen nævner passiv overvågning som alternativ, fx monitorering og analyse af trafikken. Har I valgt den vej, ser auditor efter beslutningen og den overvågning, der er sat i stedet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet procedure med jeres egne frister for forskellige grader af alvor, en liste over undtagelser med ejer og udløbsdato og et fast sted, hvor scanningsresultaterne gemmes. Med det på plads er auditten mest en gennemgang af stikprøver.
Uden egne frister har I ingen målestok, og tilsynet kan ikke se, om I handler uden unødige forsinkelser. Undtagelser uden ejer hober sig op, og det bliver uklart, hvilke kendte svagheder virksomheden faktisk har accepteret.
Det skal I lade være med
- At skrive en frist, I ikke kan holde · auditor måler jer på jeres egne regler.
- At give undtagelser uden udløbsdato · de bliver stående, uden at nogen beslutter det.
- At køre aktive scanninger mod OT, før følgerne er vurderet · vejledningen peger på passiv overvågning som alternativ.
Det skal auditten kunne vise
- ☐ En dokumenteret procedure for sårbarhedshåndtering med egne frister efter alvor.
- ☐ De kilder, I følger, og hvem der holder øje med dem.
- ☐ Resultater fra sårbarhedsscanninger med de intervaller, I har fastsat.
- ☐ En liste over undtagelser med begrundelse, godkender, kompenserende tiltag og udløbsdato.
- ☐ Spor fra udvalgte sårbarheder til rettelse, undtagelse eller accept.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 5.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find listen over systemer, der ikke bliver opdateret, og skriv en udløbsdato og en ejer ud for hvert af dem.
Læs også: Sikkerhed ved anskaffelse og vedligeholdelse · Aktivregistret
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
