Digitaliseringsstyrelsens vejledningsskema for cybersikkerhedsforanstaltninger kan bruges som rygrad i et auditprogram for en digital enhed. Det har kontrolmål, kontroller og gennemgangsbetingelser for hver foranstaltning i bilaget til forordning 2024/2690. En selvevaluering i skemaet er dog enhedens egen angivelse, og en audit skal efterprøve den.
Skemaet er udarbejdet i forbindelse med styrelsens tilsyn med den digitale sektor. Derfor er det nærliggende at bruge det, når I vil vide, hvordan I står, før tilsynet spørger. Her er det, skemaet indeholder, og det, en audit lægger oveni.
Hvad skemaet er
Styrelsens guide til skemaet beskriver det som vejledningsmateriale og som et redskab til overblik. Det kan bruges til at kortlægge status, identificere mangler og rapportere status til ledelsen.
Skemaet er en Excel-fil med fem faner: Introduktion, Vejledningsskema, Selvevaluering_beskrivelse, Selvevaluering_output og Diagramdata_låst. For hver foranstaltning står kontrolmål, kontroller, gennemgangsbetingelser og relaterede standarder fra ISO, NIST, ETSI og CEN/TS. Den fil, styrelsen havde lagt ud i november 2026, er ændret 28. april 2026, og guiden er fra september 2025.
Guiden og filen skriver “bilag, artikel 1-13”. Det, der menes, er bilagets punkter 1 til 13.
De tre begreber
Guiden definerer begreberne i en tabel. Et kontrolmål er de specifikke mål, en enhed skal opfylde. Kontroller er de konkrete handlinger eller procedurer. Gennemgangsbetingelser er de kriterier eller betingelser, der definerer, hvad der skal vurderes under en gennemgang af, om en enhed efterlever lovens krav.
For en auditor er gennemgangsbetingelserne den mest nyttige kolonne. De ligner det, en auditor ellers selv skal formulere som kriterier. Kontrolmålene svarer til spørgsmålet “hvad skal opnås”, og kontrollerne til “hvordan”.
Det, guiden selv tager forbehold for
Guiden har et afsnit, der hedder “Vigtigt at bemærke”. Det siger bl.a.:
- Skemaet dækker de krav, der står direkte i bilaget.
- Hvor forordningen ikke giver tilstrækkelig vejledning, har styrelsen tilføjet supplerende information med styrelsen som kilde.
- Henvisningerne til standarder er vejledende.
- Kravene gælder hele enheden.
- ENISA’s vejledning kan bruges som støtte.
- Udfyldte selvevalueringer er kun for enheden selv, og oplysninger herfra vil ikke blive indsamlet eller gemt af styrelsen.
Det betyder, at skemaet blander to slags tekst. Noget er forordningens krav, og noget er styrelsens supplement. En audit, der bruger skemaet, bør skelne mellem dem i rapporten, så det er tydeligt, hvad der er krav, og hvad der er vejledning.
Selvevalueringen
Selvevalueringen har tre kategorier: implementering, dokumentering og ledelsesevaluering efter lovens § 7. Hver vurderes på en skala fra 1 til 4, og der er en mulighed for “Ikke relevant”.
En score på 3 for implementering er enhedens egen vurdering. Den siger intet om, hvad scoren bygger på. Det er her, selvevaluering og audit skilles. At selvevalueringen ikke er bevis, er en praksisbetragtning og ikke styrelsens ord.
En audit tager scoren som en påstand og prøver den mod dokumenter, logs, interview og stikprøver. Hvordan bevis vurderes, står i hvad tæller som bevis.
“Ikke relevant” i skemaet er også en påstand. For krav med forbeholdet “hvor det er relevant” skal valget begrundes efter forordningens artikel 2, stk. 2. Hvad en god begrundelse rummer, er forklaret i fravalg og forbehold i bilaget.
Sådan bygges et auditprogram på skemaet
Fremgangsmåden er almindelig auditpraksis.
Først afgrænses programmet. Kravene gælder hele enheden, så omfanget er hele CVR-nummeret. Dernæst bruges gennemgangsbetingelserne som kriterier, og for hver betingelse noteres, hvilket bevis der skal ses. Er der lavet en selvevaluering, bruges den som enhedens egen påstand, som auditten bekræfter eller afkræfter.
Rapporten kan derefter følge skemaets struktur. Det gør den let at læse ved siden af selvevalueringen, og ledelsen kan se, hvor de to vurderinger er forskellige. De steder, hvor auditten giver en lavere vurdering end selvevalueringen, er ofte de mest interessante for ledelsen.
Skemaets henvisninger til ISO, NIST, ETSI og CEN/TS er nyttige, hvis I allerede arbejder efter en af dem. At følge en standard er ikke det samme som at opfylde forordningen.
Hvad skemaet ikke dækker
Skemaet handler om foranstaltningerne i bilaget. Underretning af væsentlige hændelser efter lovens §§ 12 og 13 og kriterierne i forordningens artikel 3 til 14 skal auditeres for sig. Det samme gælder registreringen og de oplysninger, der er indberettet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen henter den aktuelle version af skemaet, læser guiden og udfylder selvevalueringen ærligt. Bagefter skal hver score kunne underbygges med noget, der kan vises. For en udbyder med et ISMS i forvejen kan meget af beviset hentes derfra.
Uden en efterprøvning bliver selvevalueringen et pænt diagram, som ingen kan stå inde for. Det giver ledelsen et billede, der ikke holder, hvis tilsynet beder om dokumentationen.
Det skal I lade være med
- At sende selvevalueringen videre som bevis · den er enhedens egen vurdering.
- At blande styrelsens supplement sammen med forordningens krav · rapporten bør vise forskellen.
- At bruge en gammel version af skemaet · filen er ændret siden første udgave.
Det skal auditten kunne vise
- ☐ Den version af skemaet, der er brugt, med dato.
- ☐ Bevis pr. gennemgangsbetingelse: dokument, log, interview eller stikprøve.
- ☐ En begrundelse for hvert “Ikke relevant”.
- ☐ Forskellen mellem selvevalueringens score og audittens vurdering.
- ☐ Underretning og registrering kontrolleret ved siden af skemaet.
Kilder
- Digitaliseringsstyrelsen, Guide til vejledningsskema for cybersikkerhedsforanstaltninger, september 2025, og vejledningsskemaet (Excel, ændret 28. april 2026), https://digst.dk/tilsyn/nis-2/vejledningsmateriale-maalrettet-den-digitale-sektor/, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 2 og bilaget, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Hent den aktuelle version af skemaet, og vælg fem gennemgangsbetingelser, hvor I skriver ned, hvilket bevis I ville vise.
Læs også: Uafhængig gennemgang efter punkt 2.3 · Compliance-platforme som bevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
