Et softwarehus under NIS 2-loven, der samtidig bringer software i omsætning, skal kunne vise to forskellige ting. At virksomhedens egne systemer er beskyttet, og at produkterne og processerne bag dem lever op til forordningen om cyberrobusthed (CRA). Et auditprogram, altså en plan over flere audits og gennemgange i en årrække, gør det muligt at dække begge uden at lave det samme arbejde to gange og uden at lade et hul stå imellem.
Forskellen på en enkelt plan og et program over flere år er forklaret i auditplan eller auditprogram. Her handler det om, hvad der skal ind i programmet, når der er to regelsæt.
Tre slags gennemgang med hver sin genstand
Audit af virksomheden. Den måler foranstaltningerne efter NIS 2-lovens § 6 og ledelsesorganets ansvar efter § 7. Genstanden er de net- og informationssystemer, virksomheden bruger til sin drift og sine tjenester. Kodelager, byggesystem og opdateringsserver hører med her.
Gennemgang af produktet og processerne bag det. Den ser på risikovurderingen, kravene i bilag I, sårbarhedshåndteringen og dokumentationen for det enkelte produkt. Kravene finder anvendelse fra december 2027 efter artikel 71. Ingen regel gør en uvildig gennemgang lovpligtig.
Overensstemmelsesvurdering med et bemyndiget organ. For vigtige produkter i klasse II, og i klasse I, når fabrikanten ikke fuldt ud har anvendt harmoniserede standarder, fælles specifikationer eller en certificeringsordning, skal et bemyndiget organ medvirke i vurderingen, jf. artikel 32, stk. 2 og 3. Hverken en audit af virksomheden eller en uvildig gennemgang af produktet erstatter den. Fabrikanten udarbejder og underskriver selv EU-overensstemmelseserklæringen.
Programmet skal vise, hvilke af de tre der er relevante, og for hvilke produkter. Om et produkt er vigtigt og i hvilken klasse, er en vurdering af produktet, som er gennemgået under vigtigt produkt eller ej.
Datoerne bestemmer rækkefølgen
Det følgende er en tolkning af, hvad der giver mening at tage først. Forordningen fastsætter ingen rækkefølge for audits.
Først beredskabet. Artikel 14 om indberetning af aktivt udnyttede sårbarheder og alvorlige hændelser har gældt siden 11. september 2026. Den omfatter også ældre produkter (artikel 69, stk. 3). Det er den del af CRA, der kan auditeres som gældende ret i dag. Se artikel 14 i auditten af hændelsesberedskabet.
Dernæst processerne før december 2027. Indgangen for sårbarhedsmeldinger, sårbarhedsregistret, beslutningerne om supportperiode og sikkerheden omkring distributionen af opdateringer kan bygges og efterprøves som processer, før kravene træder i kraft. Det giver tid til at rette det, der mangler.
Derefter produkterne ved udgivelse. Produkter, der kom på markedet før 11. december 2027, er kun omfattet af kravene, hvis de ændres væsentligt fra den dato (artikel 69, stk. 2). Gennemgangen af et produkt knyttes derfor naturligt til den version, der skal ud efter datoen, og til senere væsentlige ændringer. Hvor i udviklingsforløbet den bør ligge, er beskrevet under hvornår gennemgangen skal ligge i udviklingsforløbet.
Audit af virksomheden følger sin egen rytme. NIS 2-loven fastsætter ingen frekvens, og hvad der kan udløse en ny audit, står i hvor ofte en NIS2-audit skal gentages.
Programmet på én side
Det følgende er et eksempel på opbygning, ikke en norm.
- Hændelsesberedskab, også indberetning efter artikel 14 · Spor: Virksomhed · Hvornår i programmet: Først, da pligten gælder nu
- Kodelager, byggesystem, opdateringsserver · Spor: Virksomhed · Hvornår i programmet: I den almindelige audit af virksomheden
- Indgang for sårbarhedsmeldinger · Spor: Begge · Hvornår i programmet: Før 11. december 2027
- Sårbarhedsregister og supportperiode pr. produkt · Spor: Produkt · Hvornår i programmet: Før 11. december 2027 som proces, derefter pr. version
- Risikovurdering og teknisk dokumentation · Spor: Produkt · Hvornår i programmet: Før en ny eller væsentligt ændret version bringes i omsætning
- Vurdering med bemyndiget organ · Spor: Produkt · Hvornår i programmet: Kun for de produkter, klassen kræver det for
Hvor de to spor kan dele materiale
Det er vores tolkning, at noget af det materiale, en audit af virksomheden samler, også kan bruges i gennemgangen af produktet. Det gælder fx adgangsstyringen til kodelageret og sporet efter hændelser. Materialet skal dog læses med to forskellige spørgsmål, og et ja til det ene spørgsmål er ikke et ja til det andet.
Et ISO/IEC 27001-certifikat giver ikke formodning om overensstemmelse efter CRA. Formodning følger efter artikel 27 kun af harmoniserede standarder med reference i EU-Tidende, fælles specifikationer eller visse europæiske certifikater. Da denne tekst blev gennemgået i november 2026, var der os bekendt endnu ingen offentliggjort reference til en harmoniseret standard under forordningen. Hvad der kan genbruges, og hvor grænsen går, er uddybet under NIS2-enhed og fabrikant på samme tid.
Hvem gennemfører hvad
Den, der har bygget en proces, bør ikke selv auditere den. Det gælder også her. En gennemgang af produktet kræver kendskab til udvikling og til forordningens bilag. En audit af virksomheden kræver kendskab til NIS 2-loven og til drift. Det kan være samme auditor eller to forskellige, men programmet bør sige, hvem der dækker hvad, og at ingen af dem giver et certifikat eller en erklæring om overensstemmelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en produktoversigt, hvor det for hvert produkt står, om forordningen gælder, en ejer for hvert spor og en plan, ledelsen har godkendt. Programmet bør ses igen, når et nyt produkt kommer til, når en klasse ændres, eller når der kommer harmoniserede standarder.
Uden et program bliver de to spor planlagt hver for sig. Så kan begge springe udviklingsmiljøet over, fordi hver tror, det andet har det med, og indberetningsberedskabet kan stå uprøvet, fordi CRA opfattes som noget, der først gælder i 2027.
Det skal I lade være med
- At lade NIS2-auditten stå som svar på CRA · den har virksomheden som genstand, ikke produktet.
- At skubbe alt fra CRA til december 2027 · artikel 14 gælder allerede.
- At regne et ISO 27001-certifikat for bevis om produktet · det giver ingen formodning efter artikel 27.
Det skal auditten kunne vise
- ☐ Et godkendt program, der skelner mellem virksomhed og produkt.
- ☐ En oversigt over produkter, der er omfattet, med klasse og ejer.
- ☐ Hvilke områder der er auditeret, hvornår og af hvem.
- ☐ Hvor materiale bruges i begge spor, og hvem der har læst det med hvilket spørgsmål.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 (forordningen om cyberrobusthed), artikel 14, 27, 32, 69 og 71, https://eur-lex.europa.eu/legal-content/DA/TXT/HTML/?uri=OJ:L_202402847, læst 13. november 2026.
- Europa-Kommissionen, Cyber Resilience Act, Standardisation, https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit af virksomheden eller af softwareproduktet · Hvor ofte skal en NIS2-audit gentages?
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
