At der ligger en sikkerhedspolitik i en mappe, er det første, en audit af politikkerne konstaterer, og det mindste, den udtaler sig om. Spørgsmålene er, om de emnespecifikke politikker passer til hovedpolitikken, om den rigtige ledelse har godkendt hver af dem, og om de er blevet læst igennem siden.
En politik er efter loven et styringsredskab. Derfor er alderen, underskriften og sammenhængen vigtigere end antallet af sider.
Det, loven og vejledningen siger
NIS 2-lovens § 6, stk. 1, nr. 1, nævner politikker for risikoanalyse og informationssystemsikkerhed som den første af ti foranstaltninger. Efter § 7, stk. 1, godkender ledelsesorganet foranstaltningerne og fører opsyn med, at de bliver ført ud i livet.
Til selve informationssikkerhedspolitikken stiller Styrelsen for Samfundssikkerhed tre krav i sin vejledning fra juni 2025. Den skal udarbejdes og implementeres. Den skal ud fra en risikobaseret tilgang sikre et passende niveau, hvor der tages hensyn til teknisk niveau, omkostninger og risici, der kan skade data og tjenester af samfundsmæssig betydning. Og den skal passe til både loven og enhedens forretningsmæssige mål.
Om indholdet bruger vejledningen ordet “bør”. Politikken bør fastsætte tilgangen til sikkerhedsstyringen, have målsætninger, en forpligtelse til at opfylde krav som GDPR og en forpligtelse til fortsat forbedring. Den bør være tilgængelig for de interessenter, der har brug for den.
Hvem der skal godkende hvad
Her ligger en forskel, som er værd at kende. Informationssikkerhedspolitikken skal ifølge vejledningen godkendes af ledelsesorganet. Hvem det er, afhænger af selskabsformen. Lovens definition i § 3, nr. 20, peger på bestyrelsen, hvis der også er en direktion.
Risikostyringspolitikken skal godkendes af “den relevante ledelse”. Det er i vejledningens ordliste den, der har ansvaret for en del af forretningen, fx IT eller HR. Emnespecifikke politikker for fx backup og adgangsstyring kan udarbejdes, og gør I det, skal de være i overensstemmelse med hovedpolitikken. De bør gennemgås af den relevante ledelse, og resultatet bør rapporteres til ledelsesorganet.
Auditor ser derfor på hver politik for sig og spørger, hvem der har godkendt den, og om det er det niveau, vejledningen peger på. Sporet efter bestyrelsens godkendelse er beskrevet nærmere i sporet efter ledelsesorganets godkendelse.
Navnet er underordnet
Vejledningen accepterer, at politikker hedder retningslinjer, principper eller strategier. Det er nok, at de tydeligt beskriver formål, rammer og ansvar, og at den relevante ledelse kender og har godkendt dem. Auditor kan altså ikke underkende et dokument, fordi det hedder noget andet.
Dokumentationen må også ligge, hvor I plejer at have den: på papir, på intranettet eller i en vidensdatabase. Kravet er, at de relevante medarbejdere har adgang til den, og at den kan gøres tilgængelig for tilsynet.
Sammenhæng mellem dokumenterne
Den del, der kræver mest omhu, er sammenhængen. Auditor lægger hovedpolitikken ved siden af de emnespecifikke politikker og ser efter modstrid. Siger hovedpolitikken, at alle fjernadgange kræver to faktorer, mens politikken for leverandører tillader en fælles adgangskode, er dokumenterne ikke i overensstemmelse.
Auditor ser også på koblingen til risikovurderingen. En politik, der skal være risikobaseret, bør kunne pege på de risici, den svarer på. Gør den ikke det, er den svær at forsvare som passende og forholdsmæssig. Det hænger sammen med audit af risikovurderingen.
Den sidste kobling er mellem politik og praksis. Auditor tager et par udsagn fra politikken og spørger efter beviset i hverdagen. Det er almindelig auditmetode og står ikke i vejledningen. Forskellen mellem en politik, der er skrevet, og en, der virker, er forklaret i design, indførelse og virkning.
Vedligeholdelsen
Vejledningen anbefaler, at informationssikkerhedspolitikken ajourføres årligt og ved væsentlige ændringer i forretningsmål eller trusselsbillede. Ordet er “bør”. Har politikken ligget urørt i flere år, skal I kunne forklare tilsynet, hvorfor det interval passer til jeres risiko.
Auditor ser derfor efter en versionshistorik, en dato for seneste gennemgang og et spor efter, hvem der gennemgik. Er der sket store ændringer siden, fx et nyt forretningsområde eller en ny driftsleverandør, ser auditor efter, om politikken er fulgt med.
I det proaktive tilsyn med kommunerne i 2026 brugte styrelsen et skema, hvor fem udsagn handlede om politikken, fra dens eksistens til emnepolitikkernes overensstemmelse. Skemaet blev sendt til kommuner og er ingen målestok for private.
Standardhenvisninger
Vejledningen peger under politikken på ISO/IEC 27001:2023 afsnit 5.2, 6.2, 9.3, A.5.1, A.5.4 og A.5.36 og på NIST CSF 2.0 GV.PO-01 og GV.PO-02. Har I et politiksæt bygget efter en af dem, kan auditor bruge henvisningen som indgang. Hvad afsnittene indeholder, står i standarderne selv.
Hvad det kræver, og hvad det koster at lade være
Et politiksæt, der kan tåle en audit, kræver en liste over alle politikker med ejer, godkender, dato og næste gennemgang. Derefter en gennemlæsning med øje for modstrid og en runde, hvor de rigtige ledelsesniveauer godkender. Det er mest koordinering og kræver sjældent ny tekst.
Lader I det ligge, får tilsynet et politiksæt, hvor godkendelserne ikke passer til vejledningen, og hvor dokumenterne modsiger hinanden. Medarbejderne ved så heller ikke, hvilken regel der gælder, når to dokumenter siger noget forskelligt.
Det skal I lade være med
- At skrive en ny politik for hvert spørgsmål · flere dokumenter giver flere steder, hvor de kan modsige hinanden.
- At lade IT-chefen godkende hovedpolitikken · den skal godkendes af ledelsesorganet.
- At tælle sider som bevis · auditor ser efter godkendelse, sammenhæng og efterlevelse.
Det skal auditten kunne vise
- ☐ En informationssikkerhedspolitik godkendt af ledelsesorganet, med dato.
- ☐ En oversigt over emnespecifikke politikker med ejer, godkender og seneste gennemgang.
- ☐ At de emnespecifikke politikker stemmer overens med hovedpolitikken.
- ☐ En kobling fra politikkerne til risikovurderingen.
- ☐ En begrundelse, hvis politikken ikke er gennemgået inden for det seneste år.
- ☐ At medarbejderne kan finde politikkerne, der hvor I plejer at lægge dokumenter.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 4, 6-7 og 11-12, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over jeres politikker med fire kolonner: ejer, godkendt af, dato og næste gennemgang.
Læs også: Dokumentlisten og bevismappen · Audit af adgangsstyringen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
