En foranstaltning kan efterprøves på tre niveauer: om den er rigtigt tænkt, om den findes og bliver brugt, og om den har virket over tid. Derfor kan politikken være i orden, mens rapporten alligevel har et fund, fordi praksis ikke følger papiret eller kun gjorde det i en del af perioden.
Ordene design, indførelse og virkning kommer fra finansiel revision. De står ikke i NIS 2-loven. De er alligevel nyttige for alle, der bestiller eller modtager en audit, fordi de forklarer, hvorfor auditor beder om mere end dokumenterne.
Design: er kontrollen tænkt rigtigt?
Design handler om, hvorvidt kontrollen alene eller sammen med andre kan forhindre en fejl eller opdage og rette den. Revisionsstandarden ISA 315 beskriver det sådan, og den lægger vægt på, at design vurderes først. En dårligt designet kontrol er i sig selv en mangel, og så giver det ingen mening at teste, om den bliver fulgt.
Tænk på en procedure for at lukke adgang, når en medarbejder stopper. Designet er svagt, hvis proceduren ikke siger, hvem der giver besked, eller hvis den kun omfatter det centrale login og glemmer systemer med egne brugere. Det kan auditor se ved at læse proceduren og sammenholde den med listen over systemer.
Indførelse: findes kontrollen, og bruges den?
Indførelse betyder, at kontrollen findes i virkeligheden og bliver brugt. Her rækker et dokument ikke. ISA 315 beskriver, at design og indførelse efterprøves med en kombination af forespørgsel, observation og inspektion af dokumenter, og at forespørgsel alene ikke er tilstrækkelig.
I eksemplet med fratrædelser kan auditor bede om at se den sidste lukning og observere, hvordan en anmodning bliver behandlet. Viser det sig, at HR sender en mail, som ingen i IT holder øje med, er proceduren indført på papiret, men den bliver ikke brugt.
Virkning: har kontrollen virket over perioden?
Virkning er det tredje og sværeste niveau. Spørgsmålet er, om kontrollen har virket hver gang i den periode, auditten dækker. ISA 330 påpeger, at en observation kun gælder det tidspunkt, den foretages. Mere sikkerhed kommer fra at kombinere forespørgsel med inspektion af det, der faktisk er sket, eller fra at gentage kontrollen.
For fratrædelser betyder det typisk et udvalg af medarbejdere, der er stoppet i perioden, og et tjek af, hvornår deres konti blev lukket. NIST beskriver, at en gennemgang med tilstrækkelig dækning giver grund til tillid til, at kontroller virker løbende og konsekvent. Hvordan udvalget vælges, står i stikprøver i en audit, og forskellen på en dag og en periode i øjebliksbillede eller periode.
Hvad det betyder for jeres rapport
En god rapport siger, hvilket niveau hver konklusion bygger på. “Politikken er godkendt” er en konklusion om design. “Kontrollen er fulgt i alle udvalgte sager” er en konklusion om virkning i et udvalg. Blander rapporten de to sammen, ved læseren ikke, hvor sikker konklusionen er.
Spørg derfor auditor, før arbejdet går i gang, hvilket niveau gennemgangen skal nå for de vigtigste områder. Svaret afgør både omfanget og, hvad rapporten kan bruges til. Det hører med i opdraget på én side.
Koblingen til NIS 2
For virksomheder omfattet af NIS 2-loven har tankegangen en direkte parallel. Koblingen er en tolkning, som hviler på myndighedens egne ord. Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle siger, at ledelsesorganet skal føre tilsyn med gennemførelsen og sikre, at foranstaltningerne har den fornødne effekt. Vejledningen om cybersikkerhedsforanstaltninger anbefaler, at procedurerne for effektivitetsvurdering har metoder til at vurdere, om politikken efterleves.
I FAQ’en til tilsynet med kommunerne i 2026 står, at politikker og procedurer skal dække indholdet og virke efter hensigten, og at det skal kunne dokumenteres. At noget virker efter hensigten, er i revisionssprog et spørgsmål om indførelse og virkning. Kravet om at vurdere effektiviteten står i § 6, stk. 1, nr. 6, og er beskrevet i effektivitetsvurdering efter NIS2.
Den, der vil måle sin modenhed over flere år ud fra samme tre niveauer, finder metoden for modenhed målt over tid.
Hvad det kræver, og hvad det koster at lade være
Design kan efterprøves ud fra dokumenter. Indførelse kræver adgang til systemerne og til de personer, der udfører arbejdet. Virkning kræver spor, der dækker hele perioden, og det kræver, at I gemmer dem. Jo længere ned i niveauerne auditten går, jo mere materiale skal I kunne levere.
Stopper auditten ved design, får I en vurdering af jeres papirer. Den kan være nyttig, men den siger intet om, hvad der skete i hverdagen. Som svar til en bestyrelse eller en kunde er det tyndt.
Det skal I lade være med
- At læse en godkendt politik som en virkende kontrol · det er to forskellige konklusioner.
- At aflevere den pæneste sag som eksempel · auditor skal selv vælge, ellers siger udvalget intet.
- At slette sporene efter få uger · så kan virkningen over perioden ikke vises.
Det skal auditten kunne vise
- ☐ For hver vigtig kontrol: hvilket niveau konklusionen bygger på.
- ☐ Design vurderet, før indførelse og virkning blev testet.
- ☐ Bevis ud over interviews for de kontroller, der er vurderet som indført.
- ☐ Den periode, virkningen er vurderet for, og hvordan udvalget blev valgt.
Kilder
- IAASB, ISA 315 (Revised 2019) med følgeændringer til ISA 330, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, bilag C, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn med kommuner 2026, FAQ, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres fem vigtigste kontroller, og skriv ud for hver, om I kan vise design, indførelse eller virkning.
Læs også: Følg én sag fra start til slut · Opfyldt, delvist opfyldt, ikke opfyldt
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
