Efter en væsentlig hændelse har I allerede skrevet en endelig rapport til myndigheden med den sandsynlige årsag. Den rapport er det naturlige udgangspunkt for en audit af de foranstaltninger, der skulle have forhindret eller begrænset hændelsen.
NIS 2-loven siger, at mangler i forhold til § 6 skal rettes uden unødigt ophold. En audit efter hændelsen kan vise, om det er sket, og om rettelserne holder. Artiklen beskriver, hvordan den afgrænses.
Det, loven allerede har krævet af jer
Efter § 13, stk. 1, nr. 4, skal den endelige rapport sendes senest 1 måned efter hændelsesunderretningen. Den skal indeholde en detaljeret beskrivelse af hændelsen, den type trussel eller grundlæggende årsag, der sandsynligvis har udløst den, de afbødende foranstaltninger og eventuelle grænseoverskridende virkninger. Pågår hændelsen stadig, sendes en statusrapport og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (nr. 5).
Efter § 6, stk. 2, skal en enhed, der ikke overholder kravene, uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger.
For digitale enheder under forordning 2024/2690 kræver bilaget desuden en gennemgang efter hændelsen (punkt 3.6) og ajourføring af politik, risikovurdering og planer ved væsentlige hændelser, fx punkt 1.1.2, 2.1.4 og 4.1.4. Se klassifikation og gennemgang efter hændelsen.
Slutrapportens årsag som udgangspunkt
Det følgende er praksis. Den endelige rapport angiver en sandsynlig årsag. Auditten tager den som hypotese og spørger tre ting:
- Hvilke foranstaltninger skulle have stoppet eller opdaget årsagen? Er årsagen en udnyttet sårbarhed, er det sårbarhedshåndteringen. Er det en kompromitteret konto, er det adgangsstyring og MFA. Er det en leverandør, er det leverandørstyringen.
- Fandtes de, og virkede de? Her bruges niveauerne design, indførelse og virkning, som er beskrevet i design, indførelse og virkning. En procedure kan have været beskrevet uden at være fulgt.
- Er de rettet nu, og hvordan kan det ses? Bevis for rettelsen skal være dateret efter hændelsen.
Auditten bør også se på, om årsagen i rapporten holder. Er den bygget på antagelser, der ikke er efterprøvet, er det et fund i sig selv.
Bredere end det, der gik galt
En hændelse viser én vej ind. Er den vej lukket, kan der være andre, der ligner. Hvis en konto uden MFA blev misbrugt, er spørgsmålet, om der er flere konti uden MFA. Auditten afgrænses derfor ofte til den foranstaltning, der svigtede, i hele virksomheden, ud over det system, der blev ramt.
Hændelseshåndteringen selv er også et emne. Blev hændelsen opdaget i tide? Blev fristerne på 24 og 72 timer overholdt? Virkede kommunikationen? Se audit af hændelseshåndteringen.
Hvem laver auditten?
De personer, der håndterede hændelsen, kender den bedst, men de har også skrevet årsagsrapporten og valgt rettelserne. En audit, der skal bekræfte, at rettelserne virker, bør derfor laves af en, der ikke har været med. Det kan være intern audit, en anden afdeling eller en ekstern auditor.
Hvad en audit efter en hændelse kan sige, afhænger også af, hvad der er gemt. Logs, tidslinjer og beslutninger skal være bevaret.
Andre vinkler på samme spørgsmål
Hændelser har ofte flere sider. Hvordan en virksomhed måler sin udvikling over tid og rapporterer til bestyrelsen efter en hændelse, er beskrevet under sikkerhedsmodenhed og bestyrelsesrapportering. De tekniske kontrolpunkter ét for ét er emnet på siden om teknisk audit. Var årsagen hos en leverandør, er kundens revisionsret og leverandørens erklæringer beskrevet under leverandøraudit.
Ledelsesorganets rolle bagefter
Ledelsesorganet har efter § 7 ansvaret for at godkende foranstaltningerne og følge, om de føres ud i livet. Efter en væsentlig hændelse er det naturligt, at auditten også ser på, om ledelsesorganet har fået slutrapporten, godkendt rettelserne og fulgt op på dem. Det følgende er praksis. Bevis kan være et referat, hvor slutrapporten er behandlet, og et senere referat, hvor status på rettelserne er gennemgået. Se sporet efter ledelsens godkendelse.
Er der tale om en digital enhed, skal politik, risikovurdering og planer ajourføres efter væsentlige hændelser efter forordningens punkt 1.1.2, 2.1.4 og 4.1.4. Auditten kan se, om de er ajourført, og om ajourføringen er godkendt.
Hvad det kræver, og hvad det koster at lade være
En audit efter en hændelse kræver adgang til slutrapporten, logs og tidslinjer, til de personer, der håndterede hændelsen, og til bevis for de rettelser, der er lavet. Den bør ligge, når rettelserne er gennemført, men mens hændelsen stadig er frisk.
Uden en uafhængig gennemgang hviler forsikringen om, at det ikke sker igen, på dem, der skrev årsagsrapporten. Og samme svaghed andre steder i virksomheden bliver måske ikke fundet. En gentaget overtrædelse regnes som alvorlig i lovbemærkningerne til bødebestemmelsen.
Det skal I lade være med
- At afgrænse auditten til det ene system, der blev ramt · samme svaghed kan findes andre steder.
- At lade dem, der valgte rettelserne, bekræfte dem · det kræver en anden.
- At tage slutrapportens årsag for givet · auditten bør efterprøve den.
Det skal auditten kunne vise
- ☐ Den endelige rapport med årsag og afbødende foranstaltninger.
- ☐ For hver svigtende foranstaltning: hvad der fandtes, hvad der virkede, og hvad der er rettet.
- ☐ Dateret bevis for rettelserne efter hændelsen.
- ☐ En vurdering af, om samme svaghed findes andre steder.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 13, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 1.1.2, 2.1.4, 3.6 og 4.1.4, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 32, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Efter et angreb uden NIS2 · Følg én sag fra start til slut
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
