Bestilling og forberedelse af en audit

Kvaliteten af en audit afgøres for en stor del, før auditor er gået i gang. Et kort opdrag, en klar afgrænsning, en auditor uden interesse i resultatet og en aftale om adgang og fortrolighed gør rapporten brugbar. Artiklerne her går igennem bestillingen, først for den almindelige sikkerhedsaudit og derefter for NIS2-auditten, og de slutter med det, jeres egne folk og ledelsen skal forberede.

Opdraget og afgrænsningen

• Sådan bestiller I en sikkerhedsaudit med et opdrag på én side Formål, kriterier, omfang, modtager og leverance samlet.
• Afgrænsning af en sikkerhedsaudit, når ingen lov bestemmer omfanget

• Afgrænsning af sikkerhedsauditten hos en softwarefabrikant Fra de processer, I ikke kan undvære, til systemer og leverandører.
• Auditplan eller auditprogram

• Auditprogram for softwarehuset, der både er NIS2-enhed og fabrikant Én bred audit eller områderne fordelt over flere år.
• Gennemgang på stedet eller på afstand Det, der kun ses, når auditor er til stede.

Valget af auditor

• Valg af auditor til en sikkerhedsaudit med fem spørgsmål Uafhængighed, faglighed, metode, rapport og referencer.
• Valg af auditor til en NIS2-audit Kriterier, der holder over for bestyrelse og tilsyn.
• Må den rådgiver, der byggede jeres NIS2-arbejde, også auditere det? Interessekonflikten, ledelsen selv skal tage stilling til.
• Revisionshus, advokat eller sikkerhedsrådgiver Hvem der kan udtale sig om hvad.

Tilbud, aftale og produkt

• Hvad påvirker prisen på en sikkerhedsaudit? Omfanget og dybden, der gør tilbud sammenlignelige.
• Hvad påvirker prisen på en NIS2-audit? Enheder, forordningen, outsourcet drift og antal foranstaltninger.
• Auditaftalen om omfang, adgang, fortrolighed og ansvar Det skriftlige, der ligger klar, før auditor får adgang.
• Auditrapport eller revisors NIS2-erklæring efter ISAE 3000 To produkter med hver sin modtager.

Jeres egen forberedelse

• Dokumentlisten og bevismappen ordnet efter lovens ti foranstaltninger Én mappe, der kan bruges af både auditor og tilsyn.
• Interviews i auditten Hvem der skal med, og hvad de skal have klar.
• Forløbet i en NIS2-audit fra opstartsmøde til rapport Seks faser og den tid, de kræver hos jer.
• Selvevaluering før auditten Skemaerne som forberedelse, men aldrig som bevis.
• Ledelsens rolle i auditten som interviewperson og modtager To roller, ingen af dem kan overlades til IT.
• Bestyrelsen bestiller selv auditten Opdrag, rapportvej og adgang, når bestyrelsen vil have svaret direkte.

Sådan bruger I siden

Skriv opdraget først, også selv om det kun bliver en halv side. Det tvinger jer til at vælge kriterier og omfang og gør det muligt at sende samme tekst til flere. Læs derefter artiklen om valg af auditor, der passer til jeres situation, og brug pris-artiklen til at lægge tilbuddene ved siden af hinanden. Når aftalen er på plads, er bevismappen og forberedelsen af interviews det, der sparer mest tid.

Hvad det kræver, og hvad det koster at lade være

Bestillingen kræver nogle timer hos ledelsen og den IT-ansvarlige og et par samtaler med mulige auditorer. Uden et opdrag sammenligner I tilbud, der dækker noget forskelligt, og auditten kan ende med at svare på det, auditor fandt lettest at undersøge. Uden en aftale om adgang og fortrolighed opstår spørgsmålene midt i forløbet.

Det skal I lade være med

• At vælge den billigste uden at sammenligne omfang · tilbuddene kan dække noget forskelligt.
• At lade den, der byggede løsningen, auditere den · vurderingen mister sin vægt.
• At sende en selvevaluering som bevis · auditor vil se det, der ligger bag.

Det skal bestillingen kunne vise

• ☐ Et skriftligt opdrag med formål, kriterier og omfang.
• ☐ Begrundelsen for valget af auditor og dennes uafhængighed.
• ☐ En underskrevet aftale om adgang, fortrolighed og opbevaring.
• ☐ En plan for, hvem der deltager i interviews.

Senest gennemgået: november 2026.

Næste skridt

• Auditmetode og bevis
• Fund, rapport og opfølgning

Læs også: Sikkerhedsaudit forklaret · NIS2-audit

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT