Efter et angreb eller et alvorligt nedbrud kan en audit vise, hvilke af virksomhedens sikkerhedsforanstaltninger der skulle have forhindret eller begrænset skaden, og hvorfor de ikke gjorde det. Auditten kommer efter den tekniske undersøgelse og genetableringen og ser på styringen bag, så de samme svagheder ikke står åbne næste gang.
Artiklen er til virksomheder, der ikke er omfattet af NIS 2-loven og derfor ikke har lovens pligt til at underrette myndighederne om væsentlige hændelser. Det ændrer ikke på, at der efter et hackerangreb eller et IT-nedbrud er en række ting, der skal gøres først. Auditten er ikke en af dem.
Det, der kommer før auditten
Sikkerdigital.dk beskriver de første skridt, når skaden er sket: begrænse skaden og stoppe angrebet, sikre beviser, så angrebet kan efterforskes, og sårbarhederne findes, anmelde til politiet og indberette via den fælles løsning på virk.dk.
Er personoplysninger berørt, gælder databeskyttelsesforordningens artikel 33 også uden NIS 2. Et brud på persondatasikkerheden anmeldes til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med det.
Den tekniske undersøgelse af, hvad der skete, hvordan angriberen kom ind, og hvad der blev berørt, ligger også før auditten. Den kræver særlige færdigheder og bør ikke blandes sammen med en audit.
Den tekniske undersøgelse og auditten er to ting
Forskellen er en fortolkning, men den er nyttig at holde fast i:
Den tekniske undersøgelse spørger: Hvad skete der? Den følger angriberens spor, finder indgangen og fastslår, hvad der er berørt. Resultatet er et hændelsesforløb.
Auditten spørger: Hvorfor kunne det ske, og hvad skulle have virket? Den sammenligner virksomhedens egne regler og aftaler med det, der faktisk var på plads, da hændelsen indtraf. Resultatet er fund i styringen.
Et tænkt eksempel: Undersøgelsen viser, at angriberen kom ind via en fjernadgang uden to-faktor-login. Auditten spørger så, om der var en regel om to-faktor-login på fjernadgange, hvem der skulle håndhæve den, hvorfor netop denne adgang var undtaget, og om andre adgange er undtaget på samme måde.
Hvad auditten ser på
NIST’s vejledning om hændelseshåndtering (SP 800-61, revision 3, april 2025) lægger hændelseshåndtering ind i den samlede risikostyring med fire faser: forberedelse, opdagelse, respons og genopretning. De fire faser kan bruges som disposition for auditten efter en hændelse:
- Forberedelse. Var de forebyggende foranstaltninger, virksomheden selv havde besluttet, faktisk indført? Var der en beredskabsplan, og kendte de rette folk den?
- Opdagelse. Hvor lang tid gik der, før hændelsen blev opdaget, og hvem opdagede den? Var der overvågning, som skulle have fanget den tidligere?
- Respons. Fulgte man planen? Var det klart, hvem der besluttede, og hvem der kontaktede leverandøren, politiet og eventuelt Datatilsynet?
- Genopretning. Virkede backuppen? Hvor lang tid tog det at komme op at køre, og svarede det til det, ledelsen havde regnet med?
Opdeling og spørgsmål er praksis. Hvad der gennemgås i den enkelte audit, afhænger af hændelsen.
Når hændelsen startede hos en leverandør
Mange hændelser rammer gennem en IT-leverandør eller en tjeneste, virksomheden køber. Auditten ser så også på aftalen med leverandøren, og på om virksomheden fik besked i tide. Hvordan kunden stiller krav til leverandøren efter en hændelse, er beskrevet under kundens krav til IT-leverandøren efter en hændelse. De tekniske huller i opsætningen, der skal lukkes bagefter, hører til den tekniske gennemgang af opsætningen.
Hvornår auditten bør ligge
Auditten giver mest, når driften er genetableret, og den tekniske undersøgelse er afsluttet, men før hukommelsen om forløbet er falmet. Ligger den for tidligt, tager den tid fra genopretningen. Ligger den for sent, er detaljer om beslutninger og tidspunkter gået tabt. En enkel praksis er at notere forløbet undervejs, så auditten senere har et spor at arbejde ud fra. Den kan skrives ind i beredskabsplanen.
Hvad det kræver, og hvad det koster at lade være
Auditten efter en hændelse kræver resultatet af den tekniske undersøgelse, virksomhedens egne regler og aftaler fra før hændelsen, de noter eller logs, der blev ført undervejs, og adgang til dem, der håndterede forløbet. Det er en fordel, at auditor ikke selv har været involveret i håndteringen.
Uden auditten bliver det, der skete, lukket teknisk. Den konkrete indgang bliver lukket, men den styringsmangel, der lod den stå åben, findes stadig, og den næste hændelse kommer ind et andet sted af samme grund.
Det skal I lade være med
- At starte auditten, mens angrebet stadig håndteres · den tager tid fra genopretningen.
- At lade den tekniske undersøgelse stå alene · den finder indgangen og lader årsagen i styringen ligge.
- At lade dem, der håndterede hændelsen, auditere sig selv · de har svært ved at se deres egne valg udefra.
Det skal auditten kunne vise
- ☐ Hændelsesforløbet fra den tekniske undersøgelse, brugt som grundlag.
- ☐ Hvilke af virksomhedens egne regler og aftaler der var gældende, da hændelsen indtraf.
- ☐ For hver fase hvad der virkede, og hvad der ikke gjorde.
- ☐ Fund i styringen med ejer og frist, adskilt fra de tekniske rettelser.
Kilder
- Sikkerdigital.dk, “Når skaden er sket”, https://www.sikkerdigital.dk/virksomhed/naar-skaden-er-sket, læst 12. november 2026.
- NIST, SP 800-61 Revision 3, april 2025, abstract, https://csrc.nist.gov/pubs/sp/800/61/r3/final, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 33, stk. 1, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra fund til handlingsplan · Hvornår giver en sikkerhedsaudit mening
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
