Auditmetode og bevis

En audit står og falder med beviset. Det er beviset, der skiller en konklusion fra en mening, og det er metoden, der afgør, hvor meget beviset kan bære. Artiklerne her forklarer, hvordan en auditor arbejder, så I kan forberede jer, stille krav til den auditor, I hyrer, og vurdere, om rapporten står på et forsvarligt grundlag. De fleste gælder enhver sikkerhedsaudit, og nogle er skrevet til NIS2-auditten.

Forløbet og niveauerne

• Forløbet i en sikkerhedsaudit fra første samtale til gennemgang af rapporten Fire trin og det, I selv skal levere i hvert.
• Design, indførelse og virkning Tænkt rigtigt, taget i brug og virket over tid.
• Øjebliksbillede eller periode En dag eller en periode giver to forskellige grader af sikkerhed.

Beviset

• Hvad tæller som bevis i en NIS2-audit? Dokument, interview, observation og teknisk afprøvning.
• Logs og ændringsspor som bevis Hvorfor systemernes spor vejer tungere end en forklaring.
• Aflevering af bevis til auditor og tilsyn Indeks, kilde, dato og en person, der står inde for hver del.
• Compliance-platforme og automatisk bevisindsamling Grønne flueben, som auditor stadig skal efterprøve.
• Penetrationstest som bevis i NIS2-auditten Hvad rapporten belægger, og hvor den tier.

Stikprøver og opslag

• Stikprøver: hvordan de vælges, og hvad de kan sige Et udvalg, der kun kan tale for resten, når det er valgt rigtigt.
• Tekniske stikprøver i en NIS2-audit Grænsen mellem at efterprøve en påstand og en teknisk gennemgang.
• Følg én sag fra start til slut Walkthrough, der finder opgaverne mellem to stole.
• Sporet efter ledelsesorganets godkendelse Referatet, versionen og deltagerne som bevis.

Fundene

• Opfyldt, delvist opfyldt, ikke opfyldt: sådan klassificeres fund En skala, rapporten selv skal forklare.
• Uenig i et fund? Faktatjek og høring, før rapporten er endelig Fejl rettes i høringen, mens reelle fund bliver stående.

Sådan bruger I siden

Begynd med forløbet og de tre niveauer, fordi de forklarer, hvorfor auditor beder om det, der bliver bedt om. Er I i gang med at forberede jer, så læs artiklerne om beviset og om aflevering. Har I modtaget en foreløbig rapport, er artiklerne om klassificering og høring de vigtigste. Bruger I et værktøj til at samle bevis, så læs artiklen om compliance-platforme, før I lover auditor et udtræk derfra.

Hvad det kræver, og hvad det koster at lade være

Det kræver, at nogen hos jer kender metoden godt nok til at finde det rigtige materiale og forklare det. Uden den viden går tiden med at sende forkerte filer frem og tilbage, og fund opstår, fordi ingen kunne finde beviset, selv om arbejdet er gjort. En rapport, der hviler på en svag metode, holder heller ikke, når en bestyrelse eller en myndighed spørger ind.

Det skal I lade være med

• At sende alt materiale på én gang uden indeks · ingen kan se, hvad der dokumenterer hvad.
• At bortforklare en afvigelse i en stikprøve · den siger noget om helheden.
• At bruge høringen til at forhandle fund væk · rapporten mister sin værdi.

Det skal metoden kunne vise

• ☐ Hvilke former for bevis der ligger bag hver konklusion.
• ☐ Udvælgelsen af stikprøver og deres antal.
• ☐ Om konklusionen gælder en dag eller en periode.
• ☐ Hvad hvert trin på skalaen for fund betyder.

Senest gennemgået: november 2026.

Næste skridt

• Fund, rapport og opfølgning
• Bestilling og forberedelse

Læs også: Sikkerhedsaudit forklaret · Ordliste

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT