NIS 2-loven nævner ingen årlig penetrationstest. Vejledningen kræver, at I ud fra risikovurderingen fastlægger, hvilke tekniske test I har brug for, hvor ofte, og hvad de skal omfatte.
Det er beslutningen og sporet efter den, en audit af dette punkt ser på. Testene selv og deres resultater er et andet emne.
Det, vejledningen siger
Kravet hører til punkt 6 i lovens liste, der handler om at vurdere foranstaltningernes effektivitet. I styrelsens foranstaltningsvejledning fra juni 2025 står det i afsnit 6.b.
Som krav skal enheden løbende vurdere behovet for tekniske test. Vejledningen skriver, at enheden på baggrund af en risikovurdering skal definere behovet for og frekvensen af forskellige typer af test, og hvilke komponenter, systemer og organisatoriske elementer det er relevant at teste.
Som eksempler nævner vejledningen sårbarhedsscanninger, penetrationstest, red team-test, blue team-aktiviteter, konfigurationsgennemgang, kodegennemgang, gennemgang af patchrutiner, social engineering-test og test af adgangskontrol og passwords. Listen er forslag. Ingen af dem er påbudt.
Lovbemærkningerne, som vejledningen gengiver, nævner sårbarhedsscanninger og penetrationstest som eksempler på test, hvis behov skal vurderes. Loven kræver altså ikke penetrationstest.
Anbefalingerne omkring beslutningen
Vejledningen anbefaler, at der testes ved installation, ved vedligeholdelse og ved væsentlige ændringer, og regelmæssigt på tværs af organisationen. Den nævner, at testene kan udføres af enheden selv eller af tredjepart.
Testenes type, omfang, tidspunkt og resultater bør dokumenteres, så de er forståelige for tredjeparts eksperter. Resultaterne bør vurderes for kritikalitet og kompenserende handlinger.
Afsnittet har også et egentligt krav. Restrisiko skal accepteres af risikoejere med passende rapportering til relevant ledelse. Det knytter testene til risikoaccepten.
Egne folk eller en tredjepart
Vejledningen lader det være op til jer, hvem der tester. En intern scanning hver uge og en ekstern test af de mest udsatte systemer med længere mellemrum kan godt stå side om side i samme beslutning.
Det, der betyder noget for auditten, er dokumentationen. Vejledningens ord om, at resultaterne bør være forståelige for tredjeparts eksperter, gælder også jeres egne test. En intern test, der kun findes som en mail med “ingen fund”, er svær at bruge som bevis.
Hvad en god beslutning indeholder
Afsnittet her fortolker vejledningen og beskriver den målestok, en auditor typisk lægger.
En brugbar testbeslutning svarer på fire spørgsmål. Hvilke systemer og organisatoriske dele er relevante at teste? Hvilke typer test passer til hver? Hvor ofte? Og hvem udfører dem?
Auditor forventer, at svarene kan føres tilbage til risikovurderingen. Et system, der bærer en omfattet tjeneste og er tilgængeligt fra internettet, har et andet testbehov end et internt arkivsystem. Står de to med samme hyppighed, er det et tegn på, at beslutningen ikke bygger på risikoen.
Beslutningen kan også indeholde de udløsende hændelser, vejledningen nævner. Installation, større vedligeholdelse og væsentlige ændringer bør udløse test, uanset den faste plan.
Sådan efterprøver en audit sporet
Fremgangsmåden er praksis.
Auditor beder om testbeslutningen og ser, hvornår den sidst er vurderet, og hvem der har godkendt den.
Dernæst sammenholdes beslutningen med virkeligheden. Er de planlagte test faktisk gennemført? Hvis en planlagt test er udskudt, findes der så en begrundelse?
Så følger auditor et par væsentlige ændringer fra perioden, fx et nyt system eller en større opgradering, og ser, om de udløste test, som beslutningen siger. Metoden har sin egen artikel om at følge enkeltsager gennem organisationen.
Til sidst ses på, hvad der skete med resultaterne. Blev fund vurderet for kritikalitet? Blev de rettet eller accepteret som restrisiko af en risikoejer?
Hvordan auditor kan bruge selve testrapporterne, står i penetrationstest som bevis. Hvor langt auditor selv går ned i teknikken, står i tekniske stikprøver.
Når der ikke testes
Beslutningen kan ende med, at visse systemer ikke testes teknisk. Det er muligt, når det er begrundet i risikoen. Det, en audit vil hæfte sig ved, er fravær af en beslutning, så testene er sket tilfældigt, eller fordi en leverandør tilbød dem.
En test uden beslutning kan stadig være nyttig. Den viser bare ikke, at kravet i 6.b er opfyldt, fordi kravet handler om at have fastlagt behovet.
Hvad det kræver, og hvad det koster at lade være
Testbeslutningen kræver, at risikovurderingen findes, og at nogen med teknisk indsigt kan omsætte den til typer og hyppigheder. Det kan ofte samles på et par sider. Arbejdet er størst første gang og derefter en årlig gennemgang eller en gennemgang ved større ændringer.
Uden beslutningen bliver testene drevet af tilbud, budgetter eller vane. Nogle systemer bliver testet igen og igen, og andre aldrig. Tilsynet kan så ikke se, at behovet er vurderet, og det er netop det, vejledningen kræver.
Det skal I lade være med
- At købe en penetrationstest og kalde kravet opfyldt · kravet gælder beslutningen om behov, typer og hyppighed.
- At give alle systemer samme testplan · det viser, at risikoen ikke er brugt.
- At lade fund ligge uden risikoejer · restrisiko skal accepteres af en risikoejer.
Det skal auditten kunne vise
- ☐ En dokumenteret beslutning om testbehov, typer, hyppighed og omfang.
- ☐ Kobling mellem beslutningen og risikovurderingen.
- ☐ Gennemførte test med type, omfang, tidspunkt og resultat.
- ☐ Test udløst af væsentlige ændringer i perioden.
- ☐ Behandling af fund og risikoejernes accept af restrisici.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 6, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6.b, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de test, der er gennemført det seneste år, og skriv ud for hver, hvilken del af risikovurderingen der begrundede den.
Læs også: Audit af sårbarhedshåndtering og opdatering · Sikkerhedsaudit, penetrationstest eller sårbarhedsscanning
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
