En audit, I selv bestiller, og et tilsyn fra den kompetente myndighed kigger ofte på de samme politikker, logs og referater. Forskellen ligger i, hvem der har sat gang i det, hvad loven forpligter jer til undervejs, og hvad der kan følge bagefter.
Den forskel er værd at have på plads, før I svarer på et brev fra myndigheden eller bestiller en gennemgang. Den afgør, hvem der bestemmer omfanget, hvem der ejer resultatet, og hvad det koster at sige nej.
Tilsynet hviler på lovens kapitel 6
Myndighedens beføjelser står i NIS 2-loven. Over for en væsentlig enhed kan myndigheden efter § 21, stk. 1, bl.a. kontrollere på stedet, foretage regelmæssige og målrettede sikkerhedsaudits, kræve at et kvalificeret uafhængigt organ udfører dem, scanne, og kræve oplysninger, adgang til data og dokumentation. Over for en vigtig enhed er sporet smallere. Efter § 24, stk. 1, nr. 2, kan myndigheden foretage målrettede audits, og det sker efter indikationer på, at kravene ikke overholdes.
Hvad der adskiller de to typer, står i væsentlig eller vigtig enhed. Kravene i § 6 er de samme for begge. Det er tilsynets form, der skifter.
Jeres egen pligt hviler på §§ 6 og 7
Efter § 6, stk. 1, nr. 6, skal I have politikker og procedurer, der vurderer, om jeres foranstaltninger mod cybersikkerhedsrisici er effektive. Ledelsesorganet godkender foranstaltningerne og fører tilsyn med, at de bliver gennemført (§ 7, stk. 1). Hvordan I vurderer effektiviteten, siger loven ikke. En ekstern audit er én måde. Egne kontroller, interne gennemgange og tekniske test er andre.
Vores læsning af loven er derfor, at den ikke kræver en ekstern audit af alle omfattede enheder. En audit, I selv bestiller, er frivillig, indtil myndigheden kræver en efter § 21, stk. 1, nr. 2, eller § 24, stk. 1, nr. 2. Det er en tolkning af ordlyden. For digitale enheder under forordning 2024/2690 gælder desuden et krav om en uafhængig gennemgang, som står i punkt 2.3. Mere om lovens krav står i kræver NIS 2-loven en audit?.
Hvem bestemmer, hvad der ses på?
Ved en frivillig audit fastlægger I selv kriterier, omfang og tidspunkt i aftalen med auditor. I kan vælge at se på tre af de ti foranstaltninger i år og resten næste år. Rapporten tilhører jer, og I beslutter, hvem der får den.
Ved tilsyn er det myndigheden, der vælger. Den skal angive formålet med en anmodning og præcisere, hvilke oplysninger den vil have, og i hvilken form (§ 21, stk. 2, og § 24, stk. 2). Om en frivillig rapport kan blive omfattet af en sådan anmodning, behandler artiklen om auditrapporten og tilsynet.
Hvad sker der, hvis I siger nej?
Her er den skarpeste forskel. En frivillig audit kan I udskyde, afbryde eller lade være med at bestille. Det har ingen strafsanktion i sig selv, så længe § 6 er opfyldt på anden vis.
Over for tilsynet er billedet et andet. At undlade at efterkomme en afgørelse om bl.a. audit eller udlevering af oplysninger straffes med bøde efter § 32, stk. 1, nr. 4. At hindre tilsyn, fx kontrol på stedet eller en audit, straffes efter § 32, stk. 1, nr. 5.
Hvad kan følge efter?
Efter en audit, myndigheden har krævet, kan den påbyde jer at gennemføre anbefalingerne fra auditten (§ 22, nr. 6, for væsentlige og § 25, nr. 5, for vigtige enheder). Lovbemærkningerne kobler påbuddet til audits efter § 21, stk. 1, nr. 2 og 3. Loven siger ikke udtrykkeligt, om det også kan gælde anbefalinger i en rapport, I selv har bestilt, og vi skriver det derfor ikke.
Efter en frivillig audit er det ledelsesorganet, der beslutter, hvad der skal ske. Pligten til at rette mangler gælder dog stadig. En enhed, der ikke overholder § 6, skal uden unødigt ophold træffe de nødvendige korrigerende foranstaltninger (§ 6, stk. 2). Det, auditten fandt, er altså ikke jeres privatsag, selv om rapporten er.
Det samme materiale virker begge steder
Det praktiske er, at begge former bygger på det samme bevis. Godkendte politikker, risikovurderingen, referater fra ledelsesorganet, ændringslogs og resultater af gendannelsestest bruges både af en auditor og af en myndighed. Har I samlet det ordnet til en audit, er arbejdet med et tilsyn mindre.
Hvad det kræver, og hvad det koster at lade være
At holde de to spor adskilt kræver ikke meget. Det kræver en note i jeres dokumentation om, hvad der er bestilt af jer, og hvad der er krævet af myndigheden, med dato og hjemmel. Og det kræver, at den, der svarer myndigheden, kender forskellen.
Blandes sporene, kan I komme til at behandle en anmodning fra myndigheden som en invitation, I kan forhandle om, eller omvendt sende mere ud, end anmodningen præciserer. Begge dele er undgåelige.
Det skal I lade være med
- At kalde tilsynet en audit i jeres egne papirer · hjemmel og frister er forskellige.
- At udskyde svar til myndigheden, som var det en frivillig gennemgang · manglende efterlevelse kan straffes med bøde.
- At se en frivillig audit som opfyldelse af hele § 6, stk. 1, nr. 6 · effektivitetsvurderingen er en løbende proces.
Det skal auditten kunne vise
- ☐ Hvilke gennemgange der er bestilt af jer, og hvilke der er krævet af myndigheden, med dato og hjemmel.
- ☐ Den politik eller procedure, der beskriver, hvordan I vurderer effektiviteten af foranstaltningerne.
- ☐ Ledelsesorganets godkendelse af foranstaltningerne og dets opfølgning på resultaterne.
- ☐ Hvem der svarer myndigheden, og hvordan svaret bliver godkendt.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7, 21, 22, 24, 25 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 22, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en NIS2-audit? · Vurderer I selv, om foranstaltningerne virker? · Scanning udefra: CSIRT og tilsyn
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
