En compliance-audit spørger, om virksomheden opfylder et bestemt regelsæt. En risikobaseret sikkerhedsaudit spørger, om virksomheden beskytter sig mod de risici, der faktisk truer den. De to kan give forskellige svar på samme virksomhed, og de fleste har brug for lidt af begge, samlet i ét opdrag.
Skellet er ikke defineret i nogen lov eller standard. Det er en praktisk opdeling, som er nyttig, når I skal bestille. Hvis I ikke ved, hvilken målestok auditten bruger, ved I heller ikke, hvad rapporten kan bruges til.
To målestokke
Målt mod regler. Kriterierne er et regelsæt, fx NIS 2-loven, databeskyttelsesforordningen, en kundes kontraktkrav eller et rammeværk. Auditten svarer krav for krav: opfyldt, delvist opfyldt eller ikke opfyldt. Resultatet er let at sammenligne fra år til år og let at vise udadtil. Skalaen for fund er beskrevet i klassificering af fund.
Målt mod risiko. Kriterierne er virksomhedens egen risikovurdering og de foranstaltninger, den har valgt for at styre risiciene. Auditten spørger, om risikovurderingen er retvisende, om foranstaltningerne passer til den, og om de virker. Resultatet er tættere på forretningen, men sværere at sammenligne med andre.
Reglerne er selv risikobaserede
De vigtigste regelsæt på området bygger på risiko. Efter NIS 2-lovens § 6, stk. 1, er det risiciene for net- og informationssystemerne, de omfattede enheder skal styre, og foranstaltningerne skal være passende og stå i forhold til dem. Databeskyttelsesforordningens artikel 32 taler om et sikkerhedsniveau, der passer til risiciene.
Det er vores tolkning, at en compliance-audit efter de to regelsæt derfor ikke kan nøjes med en tjekliste. Når loven siger “passende”, skal auditor tage stilling til, om foranstaltningerne passer til virksomhedens risiko. Hvordan lovens ord bliver til konkrete kriterier, er emnet i skal, bør og kan.
Hvorfor man kan bestå den ene og ikke den anden
To tænkte eksempler viser det.
En virksomhed har alle de politikker og procedurer, et rammeværk beder om. De er godkendt og opdateret. Men risikovurderingen har overset, at hele produktionen står stille, hvis én bestemt leverandør er nede. Målt mod rammeværket ser alt pænt ud. Målt mod risikoen er der et alvorligt hul.
En anden virksomhed har styr på sine vigtigste risici. Backup testes, adgang er stram, og leverandørerne er fulgt op. Men intet er skrevet ned, og ledelsen har ikke godkendt noget. Målt mod risikoen står den godt. Målt mod et regelsæt, der kræver dokumentation og ledelsens godkendelse, falder den igennem.
Hvad der kræves af kriterierne
Uanset målestok skal kriterierne være konkrete. Sikkerdigital.dk advarer i sin vejledning om audit mod at bruge vage formuleringer om god praksis eller et passende niveau som målestok. Det, der måles imod, skal stå i en politik, en procedure, en aftale eller en kontrolbeskrivelse.
For den risikobaserede audit betyder det, at risikovurderingen skal være skrevet ned og godkendt, før den kan bruges som kriterium. Findes den ikke, er det første fund. En mindre virksomhed kan læse om det enkle grundlag i risikovurdering af IT i en mindre virksomhed.
Sådan kombineres de i ét opdrag
En almindelig måde er at lade regelsættet bestemme områderne og risikovurderingen bestemme dybden. Auditten dækker alle krav i regelsættet, men bruger flest timer og flest stikprøver der, hvor risikoen er størst.
Opdraget bør skrive begge dele: hvilket regelsæt der er kriterium, og at auditor også skal vurdere, om risikovurderingen er retvisende. Ellers får I en rapport, der svarer på det ene og tier om det andet. Feltet hører hjemme i opdraget på én side, og valget af kriterier er beskrevet i auditkriterier.
Hvem har brug for hvad
Den virksomhed, der skal vise en kunde, et tilsyn eller en bestyrelse, at et bestemt regelsæt er opfyldt, har mest brug for compliance-delen. Den virksomhed, der ikke er omfattet af nogen særlig regulering, men vil vide, om den er beskyttet, har mest brug for risikodelen. Mange står et sted midt imellem.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I beslutter, hvilket regelsæt der gælder for jer, og at der findes en risikovurdering, auditor kan holde foranstaltningerne op imod. Findes risikovurderingen ikke, tager det typisk nogle møder med de ansvarlige for de vigtigste processer at lave en første udgave.
Vælger I kun den ene målestok uden at vide det, får I et svar, der kan være misvisende. En ren compliance-audit kan give et grønt resultat, mens den vigtigste risiko står ubehandlet. En ren risikoaudit kan overse, at et lovkrav om dokumentation ikke er opfyldt.
Det skal I lade være med
- At læse et grønt compliance-resultat som et sikkerhedsresultat · reglerne dækker ikke nødvendigvis jeres største risiko.
- At bruge en uskreven risikovurdering som kriterium · der er intet at måle imod.
- At udelade målestokken af opdraget · auditor vælger den så selv.
Det skal auditten kunne vise
- ☐ Hvilket regelsæt og hvilken risikovurdering der er brugt som kriterier.
- ☐ Om risikovurderingen er godkendt, opdateret og dækker de vigtigste processer.
- ☐ Hvordan dybden i auditten er fordelt efter risiko.
- ☐ Fund både mod regelsættet og mod risikovurderingen.
Kilder
- Retsinformation, Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Europa-Parlamentets og Rådets forordning (EU) 2016/679, artikel 32, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Modenhed eller efterlevelse · Hvad indgår i en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
