En compliance-platform kan samle bevis hurtigere og mere ensartet, end nogen kan gøre det i hånden. Den kan dog ikke afgøre, om et krav er opfyldt, og derfor vil auditor stadig efterprøve, at platformens data er rigtige, og at fluebenene dækker det, kravet handler om.
Platformene er blevet almindelige i virksomheder, der skal leve op til NIS 2-loven eller en standard. Uanset hvilket værktøj I har valgt, gælder de samme spørgsmål, når dets output skal bruges i en audit.
Hvad værktøjet faktisk gør
En compliance-platform gør typisk tre ting. Den har en liste over krav, ofte bygget på en lov eller en standard. Den henter data fra jeres systemer gennem integrationer, fx om MFA er slået til, om enheder er krypteret, eller om opdateringer er installeret. Og den viser status pr. krav, ofte som grønt, gult eller rødt.
Det første og det sidste er en ramme. Det midterste er bevisindsamling. NIST nævner, at automatisering kan gøre indsamling og rapportering hurtigere og billigere. Det er en reel fordel, især når samme kontrol skal vises igen og igen.
Hvorfor et grønt flueben ikke er et fund
Et fund i en audit er forskellen mellem kriteriet og den tilstand, auditor har fundet. Sådan beskriver standarderne for intern revision det. Et flueben siger, at platformens regel er opfyldt. Det siger ikke, om reglen dækker hele kravet.
Tag MFA. Platformen kan vise, at MFA er slået til for alle brugere i jeres identitetstjeneste. Den viser ikke, om der findes et ældre system med egne brugere uden for integrationen, eller om en servicekonto er undtaget. Kravet i § 6, stk. 1, nr. 10, om multifaktorautentificering gælder alle relevante adgange, også dem, platformen ikke kan se.
Om standarder skriver Styrelsen for Samfundssikkerhed i sin vejledning, at det hjælper på efterlevelsen at følge en, men at det ikke alene er en garanti for at leve op til loven. At overføre sætningen til værktøjer er en tolkning, som bygger på samme logik. Et værktøj bygget op om en standard arver standardens begrænsning.
Hvad auditor vil efterprøve
Standarderne for intern revision siger, at oplysninger fra et system er mere pålidelige, når systemet selv har effektive kontroller. Over for en platform giver det fire spørgsmål.
Er integrationerne komplette? Auditor vil sammenholde platformens liste over systemer med jeres aktivliste. Hvad der ikke er koblet på, vurderer platformen ikke.
Hvem kan ændre reglerne og undtagelserne? Kan en administrator markere en kontrol som ikke relevant uden spor, er det grønne flueben svagt som bevis.
Hvor gammel er målingen? NIST beskriver, at tidligere resultater kan genbruges, når troværdigheden er vurderet, og beviset stadig passer til systemets nuværende tilstand. Dato og type af den oprindelige måling bør kunne ses.
Hvad er manuelt indtastet? Mange platforme lader brugeren uploade et dokument og markere et krav som opfyldt. Den slags felter er en egenerklæring og skal behandles sådan.
Hvordan beviset bedømmes, står i hvad tæller som bevis, og de tekniske stikprøver i tekniske stikprøver i en NIS2-audit.
Sådan bruger I platformen i auditten
Brug platformen som indeks og leverandør af udtræk. Lad auditor få læseadgang eller eksporter med dato, så det kan ses, hvornår data er hentet. Oplys, hvilke systemer der ikke er koblet på, og hvilke kontroller der er markeret som undtaget, med begrundelse.
Lad auditor tage stikprøver i de underliggende systemer. Stemmer platformens status med det, auditor ser direkte, stiger tilliden til resten af platformens data. Hvordan stikprøverne vælges, står i stikprøver i en audit.
Bruger I platformen til at følge udviklingen over flere år, ligger det tættere på måling af modenhed over tid.
Spørg også, hvad platformen ikke kan måle. Politikker, ledelsens godkendelse, uddannelse og leverandøraftaler findes som dokumenter og referater, og her er platformen højst et arkiv. Det er netop de punkter, hvor en audit bruger mest tid på interviews og læsning. Viser platformen grønt for de tekniske kontroller, kan den give et skævt billede af hele § 6, hvis de organisatoriske punkter ikke er med i oversigten.
Hvad det kræver, og hvad det koster at lade være
Det kræver en oversigt over, hvilke systemer platformen dækker, et spor over undtagelser og ændringer i regler og en person, der kan forklare, hvordan statusværdierne beregnes. Det tager kort tid, hvis det holdes ved lige.
Afleverer I platformens status som bevis uden den baggrund, bruger auditor tiden på at rekonstruere den. I værste fald står der et fund om dokumentation, selv om jeres kontroller virker.
Det skal I lade være med
- At aflevere et dashboard som eneste bevis · auditor skal kunne se, hvad bag hvert flueben er målt.
- At undtage kontroller uden skrevet begrundelse · så er fluebenet en påstand.
- At regne manuelt markerede krav for målinger · de er egenerklæringer.
Det skal auditten kunne vise
- ☐ Hvilke systemer platformen henter data fra, og hvilke den ikke dækker.
- ☐ Undtagelser og ændringer i regler med dato, person og begrundelse.
- ☐ Dato for hver måling, der bruges som bevis.
- ☐ Stikprøver i de underliggende systemer, der bekræfter platformens status.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 10, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3 og bilag E, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over systemer, platformen er koblet til, og læg den ved siden af jeres aktivliste.
Læs også: Aktivregistret · Logs og ændringsspor som bevis
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
