Vil bestyrelsen have sit tilsyn efter § 7 i NIS 2-loven belyst uafhængigt, kan den selv bestille auditten, skrive opdraget og få rapporten direkte. Det kræver tre ting: et opdrag, bestyrelsen har formuleret, en rapporteringsvej, der går til bestyrelsen, og en aftale om, at auditor får adgang til de personer og oplysninger, der skal til.
Grunden er ansvaret. Bestyrelsen bærer det og bør derfor kunne se resultatet uden filter. Direktionen er stadig en vigtig del af auditten.
Hvorfor bestyrelsen kan have brug for det
Hvor der både er bestyrelse og direktion, peger NIS 2-loven på bestyrelsen som ledelsesorgan. § 7, stk. 1, giver ledelsesorganet to opgaver, nemlig at godkende foranstaltningerne og at holde øje med gennemførelsen. Ifølge ledelsesvejledningen skal bestyrelsen også se til, at foranstaltningerne faktisk har effekt.
Til det har bestyrelsen brug for oplysninger. Det meste kommer fra direktionen og den sikkerhedsansvarlige. Det er naturligt, men det betyder også, at bestyrelsen ser området gennem de øjne, der har ansvaret for at gennemføre det. Vejledningen åbner selv for, at tilsynet kan støtte sig til en udefra kommende gennemgang af NIS 2-kravene, som den kalder ekstern revision.
Hvad anerkendt praksis siger om rapporteringsvejen
Standarderne for intern revision beskriver, at intern revision er mest effektiv, når den rapporterer direkte til bestyrelsen og ikke til den del af ledelsen, hvis arbejde den vurderer. De nævner også, at begrænsninger i adgangen til oplysninger, personer eller lokaler er eksempler på indblanding. Standarderne er skrevet til interne revisionsfunktioner. Vi bruger dem her som en analogi for en ekstern audit, bestyrelsen selv bestiller.
Opdraget
Bestyrelsen, eller et udvalg på dens vegne, formulerer opdraget. Det bør sige
- hvilket spørgsmål bestyrelsen vil have svar på, fx om foranstaltningerne efter § 6 er gennemført, og om rapporteringen til bestyrelsen giver et retvisende billede,
- hvilke kriterier der bruges, typisk § 6, myndighedens vejledning og eventuelle sektorvejledninger,
- hvilke selskaber og områder der er med,
- at rapporten går til bestyrelsen.
Hvordan et opdrag skrives i almindelighed, står i bestil en sikkerhedsaudit. Spørgsmålet om at få et uafhængigt billede af IT-sikkerheden i en virksomhed uden NIS2-krav er beskrevet i bestyrelsen vil have et uafhængigt billede.
Har bestyrelsen lagt opgaven i et udvalg, fx et revisionsudvalg, kan udvalget bestille. Også her bevarer hele bestyrelsen ansvaret og bør ifølge vejledningen følge med i udvalgets arbejde. Rapporten bør derfor også nå hele bestyrelsen.
Rapporteringsvejen
Aftal, at rapporten afleveres til bestyrelsen eller udvalget, og at den foreløbige rapport sendes til både bestyrelsen og direktionen til faktatjek. Direktionen bør have mulighed for at rette fejl i fakta og kommentere fundene. Bestyrelsen bør se både fundene og direktionens kommentarer.
Er direktionen uenig i et fund, bør uenigheden stå i rapporten ved siden af fundet. Standarderne for intern revision beskriver, at begge parters synspunkter bør kunne komme frem, og at revisor ikke er forpligtet til at ændre et resultat uden gyldig grund. Bestyrelsen får dermed begge synspunkter og kan selv tage stilling. Fremgangsmåden står i uenig i et fund.
Det er også bestyrelsen, der afgør, hvem der ellers må få rapporten. Hvem der ellers kan få den, og på hvilke vilkår, er beskrevet i deling af auditrapporten.
Adgangen
Auditor skal kunne tale med de personer og se de oplysninger, der er nødvendige. Skriv i auditaftalen, at direktionen stiller medarbejdere, dokumenter og systemadgang til rådighed, og at begrænsninger i adgangen meldes til bestyrelsen. Bliver auditor afvist, bør rapporten nævne det.
Hvordan bestyrelsens ret til oplysninger i øvrigt er reguleret i selskabsretten, er ikke undersøgt her. Er der tvivl, er det et spørgsmål for en jurist.
Valget af auditor
Bestyrelsen bør vælge en auditor, der ikke har bygget det, der skal undersøges, og som ikke har en løbende opgave for direktionen på samme område. Hvorfor det betyder noget, står i rådgiveren, der auditerer eget arbejde. Vil bestyrelsen se, hvordan området udvikler sig år for år, hører det under rapportering om modenhed til bestyrelsen.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen tager ejerskab af opdraget, og at formanden eller udvalgsformanden har tid til at følge auditten og tage imod rapporten. Det kræver også, at direktionen forstår formålet og stiller sine folk til rådighed.
Bestiller direktionen alle audits, ser bestyrelsen kun det, direktionen vælger at vise. Det er ikke nødvendigvis et problem. Bestyrelsen har dog ansvaret efter § 7, og et billede, den ikke selv har bestilt, kan være svært at stå inde for.
Det skal I lade være med
- At lade direktionen skrive opdraget alene · spørgsmålet bør være bestyrelsens.
- At springe direktionens faktatjek over · fejl i fakta svækker rapporten.
- At vælge en auditor med opgaver for direktionen på området · uafhængigheden forsvinder.
Det skal auditten kunne vise
- ☐ Et opdrag formuleret og godkendt af bestyrelsen eller dens udvalg.
- ☐ Aftalt rapporteringsvej direkte til bestyrelsen.
- ☐ Direktionens kommentarer til den foreløbige rapport.
- ☐ Begrænsninger i adgangen, meldt til bestyrelsen og nævnt i rapporten.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 1, 2 og 4, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), Principle 7 og standard 13.1, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Valg af auditor til en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
