I en mindre virksomhed omfattet af NIS 2-loven kan hele sikkerhedsopgaven ligge hos én person, eller hos en ekstern IT-leverandør og én kontaktperson. Loven tager hensyn til størrelsen gennem kravet om forholdsmæssighed. De ti minimumsforanstaltninger gælder dog uanset størrelse, og auditten kan derfor finde fund netop der, hvor styringen kræver mere end én person.
Der findes ingen undtagelser for små enheder i § 6. Forholdsmæssigheden handler om, hvor omfattende foranstaltningerne skal være.
Hvad forholdsmæssighed betyder
Lovens § 6, stk. 1, bruger ordene passende og forholdsmæssige om foranstaltningerne, men nævner ikke virksomhedens størrelse. Det gør direktivet. Ved vurderingen af proportionaliteten skal der efter NIS 2-direktivets artikel 21, stk. 1, tages hensyn til enhedens eksponering for risici, dens størrelse og sandsynligheden for hændelser og deres alvor, herunder den samfundsmæssige og økonomiske virkning.
Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger peger samme vej. Foranstaltningerne skal stå i forhold til både trusselsbilledet og de ressourcer, der er afsat til området. Vejledningen tillader også, at sikkerhedsniveauet varierer mellem dele af systemerne, når risikoen begrunder det.
For en mindre virksomhed betyder det, at en kort politik, en enkel risikovurdering og få, velbeskrevne procedurer kan være passende. Det betyder ikke, at et af de ti punkter kan udelades. Begge dele er en forenkling af en vurdering, som den sektoransvarlige myndighed foretager i den konkrete sag.
Det, der gælder uanset størrelse
De ti punkter i § 6, stk. 1, er et minimum. De omfatter bl.a. risikoanalyse og politikker, hændelseshåndtering, driftskontinuitet og backup, leverandørstyring, vurdering af effektiviteten, uddannelse, adgangskontrol og multifaktorautentificering. En mindre virksomhed skal dække dem alle, men kan gøre det i en enklere form.
Vejledningen understreger, at kravene også gælder, når driften er outsourcet. Har en IT-leverandør hele driften, skal virksomheden stadig kunne vise, at foranstaltningerne findes, og at den styrer leverandøren. Det er beskrevet i outsourcet drift i NIS2-auditten.
Ledelsesorganets ansvar efter § 7 gælder også. Direktionen eller bestyrelsen i en lille virksomhed skal godkende foranstaltningerne og føre tilsyn med dem.
Fund, der hænger sammen med størrelsen
Når én person har det hele, er der nogle forhold, auditten vil se efter. Det er ikke en statistik, men en følge af opgavens art.
Uafhængighed i egen kontrol. Den, der bygger foranstaltningerne, kan ikke selv vurdere, om de virker, uden at det svækker vurderingen. Myndighedens anbefaling er, at det står i procedurerne, hvem der foretager effektivitetsvurderingerne.
Sårbarhed over for fravær. Er der kun én, der kan håndtere en hændelse eller gendanne en backup, viser en walkthrough det hurtigt. Se følg én sag fra start til slut.
Udokumenteret praksis. Personen ved, hvad der gøres, men det er ikke skrevet ned. Vejledningens dokumentationsbegreb kræver nedskrevne politikker og procedurer, som medarbejderne har adgang til.
Når adskillelse ikke er mulig
For digitale enheder har forordning 2024/2690 en regel, der kan bruges som målestok af alle. Punkt 2.3.2 i bilaget siger, at hvis enhedens størrelse ikke tillader adskillelse ved den uafhængige gennemgang, træffes alternative foranstaltninger, der sikrer, at gennemgangen er upartisk. Reglen gælder kun forordningens digitale enheder. For andre er den et eksempel på, hvordan problemet kan løses.
I praksis kan det betyde, at en ekstern part gennemgår det, den interne person har bygget, eller at ledelsen selv følger op på udvalgte punkter med en enkel tjekliste. Hvordan forordningen bruges som målestok, står i forordning 2024/2690 som målestok.
Den virksomhed, der vil se, hvordan modenheden kan vokse trin for trin, finder mere om modenhed over tid.
Brug også auditten til at få at vide, hvad der er nok. En god rapport for en mindre virksomhed siger, hvad der mangler, og den siger også, hvor den enkle løsning er tilstrækkelig. Det giver ledelsen et grundlag for at lade være med at bygge mere end nødvendigt. Drøft med auditor, før gennemgangen begynder, hvad der skal forstås ved passende, og skriv det ned.
Hvad det kræver, og hvad det koster at lade være
Det kræver en enkel skriftlig ramme for alle ti punkter, en plan for, hvem der overtager ved fravær, og en uafhængig gennemgang med passende mellemrum. Ledelsen skal afsætte tid til at godkende og følge op.
Uden det står virksomheden med en praksis, der kun findes i én persons hoved. Ved en audit giver det fund i flere af de ti punkter samtidig. Ved fravær eller en hændelse er der ingen at falde tilbage på.
Det skal I lade være med
- At læse forholdsmæssighed som en undtagelse · de ti punkter gælder stadig.
- At lade den, der bygger, også være den, der vurderer · vurderingen bliver ikke upartisk.
- At regne leverandørens drift for jeres dokumentation · I skal selv kunne vise styringen.
Det skal auditten kunne vise
- ☐ En kort skriftlig ramme, der dækker alle ti punkter i § 6, stk. 1.
- ☐ En begrundelse for, hvorfor omfanget er passende til virksomhedens risiko.
- ☐ En stedfortræder for de kritiske opgaver.
- ☐ En gennemgang udført af en anden end den, der byggede foranstaltningerne.
- ☐ Ledelsesorganets godkendelse og opfølgning.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Direktiv (EU) 2022/2555 (NIS 2-direktivet), artikel 21, stk. 1, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 8 og 9 og afsnit 6.a, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 2.3.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de ti punkter op, og sæt navnet på den, der har hvert, og den, der kan overtage.
Læs også: Foranstaltninger uden ejer · Egenkontrol og årshjul
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
