Bilaget til forordning 2024/2690 pålægger en digital enhed at lave en forretningskonsekvensanalyse og bygge sine krav til kontinuitet på den. Backupplanerne skal have genopretningstider, kopierne skal ligge uden for systemets eget netværk, og gendannelsen skal testes regelmæssigt med dokumenterede resultater.
Punkterne 4.1 og 4.2 hører sammen. Analysen siger, hvad der er vigtigst, og hvor hurtigt det skal være tilbage. Backupplanen og testen viser, om det kan lade sig gøre. En audit følger tråden fra analysen til testresultatet.
Kontinuitetsplanen i punkt 4.1
Efter punkt 4.1.1 og 4.1.2 har enheden en plan for driftskontinuitet og katastrofeberedskab, der bygger på risikovurderingen. Hvis det er relevant, omfatter planen:
- formål og omfang
- roller og ansvarsområder
- kontakter og kommunikationskanaler
- betingelser for aktivering og deaktivering
- rækkefølgen for genopretning
- genopretningsplaner med genopretningsmål
- de nødvendige ressourcer
- genoptagelse af aktiviteterne efter midlertidige foranstaltninger.
Listen er forenklet gengivet.
Analysen er uden forbehold
Punkt 4.1.3 siger: “De relevante enheder foretager en forretningskonsekvensanalyse”. På grundlag af analysen fastsætter de kontinuitetskravene.
Punktet har ikke forbeholdet “hvor det er relevant”. En digital enhed kan derfor ikke begrunde sig ud af analysen efter artikel 2, stk. 2. Det er en af grundene til, at analysen er et af de første dokumenter, en auditor beder om. Forbeholdene er gennemgået i fravalg efter artikel 2.
En forretningskonsekvensanalyse, ofte kaldet BIA efter det engelske business impact analysis, beskriver, hvad der sker, hvis en aktivitet står stille, og hvor længe den kan stå stille. Resultatet bruges også, når risici behandles efter punkt 2.1.3, og når aktiver klassificeres efter punkt 12.1.
Punkt 4.1.4 kræver, at planerne testes, gennemgås og ajourføres efter en plan og igen efter store hændelser eller ændringer. Erfaringer fra testene indarbejdes.
Backupplanen i punkt 4.2
Punkt 4.2.2 beskriver, hvad backupplanerne skal omfatte. Forenklet gengivet:
- genopretningstider
- fuldstændige og nøjagtige kopier, også af konfigurationsdata og data i cloudmiljøet
- lagring online eller offline på sikre steder, der ikke befinder sig i samme netværk som systemet, og i tilstrækkelig afstand fra hovedstedet
- fysisk og logisk adgangskontrol efter aktivernes klassifikation
- gendannelse af data fra kopierne
- opbevaringsperioder.
Kravet om at holde kopierne uden for systemets netværk er værd at læse to gange. En backup på et drev, der kan nås fra samme domæne som produktionen, kan blive ramt af det samme angreb.
Integritet, reservekapacitet og test
Efter punkt 4.2.3 kontrolleres backupkopiernes integritet regelmæssigt. Efter punkt 4.2.4 sikres mindst delvis reservekapacitet for systemer, aktiver, personale og kommunikationskanaler.
Punkt 4.2.6 kræver regelmæssige test af genopretningen fra backupkopier og af reservekapaciteten. Testresultaterne dokumenteres, og der træffes om nødvendigt korrigerende foranstaltninger.
Punkt 4.3 kræver desuden en krisestyringsproces med roller, kommunikationsmidler til myndighederne og en proces for oplysninger fra CSIRT’er og myndigheder.
Sådan prøver auditor punkterne
Gennemgangen herunder følger almindelig auditpraksis.
Forretningskonsekvensanalysen kommer først, og auditor leder efter genopretningsmål for de vigtigste tjenester. Dernæst sammenholdes målene med backupplanen. Står der i analysen, at en tjeneste skal være tilbage efter fire timer, skal backupplanen og testen kunne leve op til det.
Så beder auditor om de seneste gendannelsestest. For hver test ser auditor efter, hvad der blev gendannet, hvor lang tid det tog, om det lykkedes, og hvad der blev rettet bagefter. En test, hvor én fil blev gendannet, siger lidt om, hvorvidt en hel tjeneste kan komme tilbage.
Auditor ser også efter, hvor kopierne ligger, og hvem der har adgang. Kan en administrator med adgang til produktionen også slette kopierne, er adskillelsen svag.
Enheder uden for forordningen måles efter loven, og det er forklaret i audit af backup og gendannelse og audit af beredskabsplanen.
Konfiguration og cloud
Backupkravet nævner udtrykkeligt konfigurationsdata og data i cloudmiljøet. Bruger udbyderen selv andres cloudtjenester, er det værd at se efter, om opsætningen af dem også bliver sikret. En virtuel maskine kan gendannes, men uden netopsætning og adgangsregler kører den ikke. Auditor spørger derfor, hvordan konfigurationen er sikret, og om den var med i den seneste test.
Hvad det kræver, og hvad det koster at lade være
Det kræver en forretningskonsekvensanalyse med genopretningsmål, en backupplan, der opfylder 4.2.2, og en testplan med dokumenterede resultater. Driften og forretningen skal være enige om målene, fordi det er forretningen, der ved, hvad et nedbrud koster i tabt tillid og aftaler.
Uden analysen ved enheden ikke, hvad der skal reddes først. Uden test ved den ikke, om det kan reddes. Den første rigtige gendannelse bør ikke ske under en hændelse.
Det skal I lade være med
- At fravælge forretningskonsekvensanalysen · punkt 4.1.3 har intet forbehold.
- At lægge kopierne i samme netværk som systemet · punkt 4.2.2 kræver adskillelse.
- At teste gendannelse af enkeltfiler og kalde det en test af tjenesten · målene gælder tjenesterne.
Det skal auditten kunne vise
- ☐ En forretningskonsekvensanalyse med kontinuitetskrav og genopretningsmål.
- ☐ En kontinuitetsplan, der bygger på risikovurderingen.
- ☐ Backupplaner med genopretningstider, placering og opbevaringsperioder.
- ☐ Kopier uden for systemets netværk og med adgangskontrol.
- ☐ Dokumenterede integritetskontroller og gendannelsestest med resultater.
- ☐ Korrigerende foranstaltninger efter test, der ikke lykkedes.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilaget punkt 4.1 til 4.3, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres vigtigste tjeneste, og sammenlign genopretningsmålet i analysen med den tid, den seneste gendannelsestest tog.
Læs også: Aktiver efter punkt 12 · Øvelser som bevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
