En auditrapport og en NIS2-erklæring efter ISAE 3000 løser to forskellige opgaver. Auditrapporten giver jeres egen ledelse fund og anbefalinger, den kan handle på. Erklæringen afgives af en godkendt revisor, og den er tænkt til modtagere uden for virksomheden, typisk de kunder, der skal følge op på jer som leverandør.
Valget afhænger derfor af, hvem der skal læse resultatet. En virksomhed kan få brug for begge, på hvert sit tidspunkt og til hver sin læser.
Erklæringen efter FSR’s skabelon
Revisorernes brancheforening FSR står bag en skabelon til erklæringer om NIS 2, bygget på den internationale standard ISAE 3000 og opdateret i december 2025. Ifølge FSR har opdateringen ført til færre, tydeligere og bedre definerede kontrolaktiviteter og en klarere sammenhæng med Styrelsen for Samfundssikkerheds vejledning.
Baggrunden er kravene til forsyningskæden. Skabelonen er tænkt som et fælles udgangspunkt for omfattede virksomheder og deres direkte leverandører, når sikkerheden dokumenteres. Ifølge FSR er eksemplerne på kontrolaktiviteter og revisionshandlinger vejledende og til inspiration, og de tilpasses virksomhedens risikovurdering og revisors professionelle vurdering.
FSR forbeholder skabelonen godkendte revisorer. Vi har ikke læst selve skabelonens kontrolaktiviteter, og vi beskriver ikke, hvilken grad af sikkerhed erklæringen giver.
Hvad revisorloven siger
Efter § 1, stk. 2, omfatter revisorloven godkendte revisorers påtegninger og andre erklæringer med sikkerhed, når de ikke alene er til opdragsgiverens eget brug. Efter vores læsning er en erklæring efter ISAE 3000, som en kunde skal kunne bruge, netop sådan en. Titlerne godkendt, registreret og statsautoriseret revisor er beskyttet (§ 5).
Vi læser loven sådan, at alle må udføre en sikkerhedsaudit og rapportere om den. Rapporten bliver bare ikke en erklæring med sikkerhed i lovens forstand. Læsningen er en fortolkning og bør ikke bruges som juridisk rådgivning.
Auditrapporten
En auditrapport er skrevet til den, der har bestilt den. For en NIS2-audit er det naturligt ledelsesorganet, fordi det har ansvaret for godkendelse og tilsyn efter § 7. Rapporten indeholder typisk det, NIST og standarderne for intern revision beskriver: hvad der er undersøgt, med hvilken metode, fund med kriterium og faktisk tilstand, prioritet og anbefalinger. Opbygningen står i NIS2-auditrapporten.
Det, der gør rapporten nyttig, er detaljen. Den nævner de konkrete mangler, så de kan rettes. Netop derfor er den sjældent egnet til at sende til kunder. Spørgsmålet om at dele den står i hvem må få auditrapporten.
Forskellen side om side
- Afgives af · Auditrapport: Den auditor, I vælger · Revisors NIS2-erklæring: En godkendt revisor
- Modtager · Auditrapport: Jeres egen ledelse · Revisors NIS2-erklæring: Typisk jeres kunder
- Formål · Auditrapport: At finde og rette mangler · Revisors NIS2-erklæring: At give modtageren et grundlag i opfølgningen på jer som leverandør
- Indhold · Auditrapport: Fund og anbefalinger · Revisors NIS2-erklæring: Revisors konklusion efter skabelonen
- Regulering · Auditrapport: Ingen særlig lov · Revisors NIS2-erklæring: Revisorloven
Tabellen er en forenkling. Indholdet i en konkret erklæring afhænger af revisors opdrag.
Hvornår I bør bestille hvad
Auditrapporten først. Vil ledelsen vide, hvor I står, og hvad der skal rettes, er en audit det naturlige første skridt. Den finder manglerne, mens der stadig er tid til at rette dem. Hvordan den bestilles, står i bestil en sikkerhedsaudit.
Erklæringen, når kunderne beder om den. Når en kunde under NIS 2 kræver en erklæring fra jer, går opgaven til en revisor. Det giver mening at have rettet de væsentlige mangler, før revisor går i gang. Hvordan kunden læser og bruger en erklæring, hører under leverandørens erklæringer set fra kunden.
Begge. Har I kunder under NIS 2, kan I ende med at bruge en audit internt og en erklæring udadtil. De to forløb kan dog trække på meget af det samme materiale, fx bevismappen.
Har I allerede en erklæring, kan den bruges som bevis i en senere audit. Hvordan, står i en ISAE-erklæring genbrugt i NIS2-auditten.
Nielco IT laver sikkerhedsaudits med rapport til ledelsen og afgiver ikke revisorerklæringer. Står I og skal vælge, er spørgsmålet, hvem der skal læse resultatet.
Hvad det kræver, og hvad det koster at lade være
Valget kræver, at I ved, hvem der har bedt om dokumentationen, og hvad de vil bruge den til. Spørg kunden direkte, hvilken form de ønsker, før I bestiller.
Bestilles det forkerte produkt, får modtageren noget, den ikke kan bruge. Får kunden en auditrapport i stedet for den ønskede erklæring, passer den dårligt ind i kundens opfølgning. En ledelse, der har brug for prioriterede rettelser, får mindre ud af en erklæring.
Det skal I lade være med
- At sende auditrapporten til kunderne uden overvejelse · den beskriver jeres mangler i detaljer.
- At kalde en auditrapport en erklæring · erklæringer med sikkerhed er reguleret af revisorloven.
- At bestille erklæringen før auditten · mangler er lettere at rette, før revisor kommer.
Det skal auditten kunne vise
- ☐ Rapportens opdragsgiver og læser, skrevet på første side.
- ☐ En formulering, der gør klart, at rapporten er et arbejdsredskab for ledelsen.
- ☐ Hvert fund beskrevet ved kravet, det, der blev fundet, og en prioritet.
- ☐ Hvilke mangler der bør være rettet, før en erklæring bestilles.
Kilder
- FSR, danske revisorer, Opdateret ISAE 3000-template til NIS 2-erklæringer (10. december 2025), https://www.fsr.dk/opdateret-isae-3000-template-til-nis-2-erklaeringer, læst 12. november 2026.
- Lov om godkendte revisorer og revisionsvirksomheder, LBK nr. 206 af 20. februar 2025, § 1 og § 5, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- NIST, SP 800-53A Revision 5 (januar 2022), bilag E, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kunden er omfattet af NIS 2, det er I ikke · NIS2-auditrapporten
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
