Den nemmeste måde at forberede en NIS2-audit på er at samle materialet i én bevismappe med ti undermapper, én for hver foranstaltning i § 6, stk. 1, i NIS 2-loven. Samme opdeling bruges af myndighedens vejledning og af tilsynets spørgeskema, så mappen kan bruges både til auditten og den dag, tilsynet beder om dokumentation.
En NIS2 tjekliste fortæller, hvad der bør findes. Bevismappen er stedet, hvor det ligger. Det er den, auditor åbner, når der står et kryds på tjeklisten.
Hvorfor de ti foranstaltninger er den rigtige opdeling
Ifølge § 6, stk. 1, har både væsentlige og vigtige enheder pligt til at have foranstaltninger, der passer til risikoen, og listen over, hvad de mindst skal dække, har ti punkter. Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger følger samme rækkefølge. Også tilsynets spørgeskema til kommunerne fra maj 2026 følger de ti punkter kapitel for kapitel.
En mappe i samme rækkefølge gør det let for auditor og myndighed at finde det, de leder efter. Den gør det også let for jer at se, hvor der er huller.
De ti undermapper
Her er de ti punkter i korte navne, med eksempler på det, der kan ligge i hver. Eksemplerne er vores forslag. Vejledningen afgør, hvad der kræves.
- Risikoanalyse og informationssikkerhedspolitik. Politikken, den seneste risikovurdering, risikohåndteringsplanen og risikoejernes accept af restrisikoen.
- Håndtering af hændelser. Procedure, kontaktlister, log over hændelser og referater fra evaluering bagefter.
- Driftskontinuitet, backup og krisestyring. Beredskabsplan, backupprocedure, resultater af gendannelsestest og referater fra øvelser.
- Forsyningskædesikkerhed. Liste over kritiske leverandører, aftalernes sikkerhedskrav og dokumentation for opfølgning.
- Sikkerhed ved anskaffelse, udvikling og vedligeholdelse. Krav ved indkøb, procedure for håndtering af sårbarheder og opdateringer.
- Vurdering af foranstaltningernes effektivitet. Politik og procedure for vurdering, planer for tekniske test og resultaterne af dem.
- Cyberhygiejne og uddannelse. Program for uddannelse, deltagerlister og materiale.
- Kryptografi. Politik for kryptering og nøglehåndtering.
- Personalesikkerhed, adgangskontrol og aktiver. Procedure for ansættelse og fratrædelse, udtræk af adgangsrettigheder og aktivregister.
- Multifaktorautentificering og sikret kommunikation. Oversigt over, hvor MFA er slået til, og plan for nødkommunikation.
Læg desuden en mappe nul med ledelsesorganets godkendelse af foranstaltningerne efter § 7, stk. 1, og dokumentation for ledelsens kurser efter § 7, stk. 2. Vejledningen om ledelsens rolle nævner kursusbevis eller bekræftelse på deltagelse som eksempler. Den del er beskrevet i ledelsens rolle i auditten.
Skema til mappens forside
Læg et skema forrest i mappen. Det er indholdsfortegnelsen for auditor og jeres eget overblik over huller. Skemaet er vores forslag, ikke et krav fra myndigheden. Lav én række for hver af de elleve mapper, mappe nul og de ti ovenfor, og giv hver række seks felter:
- Mappe · nummeret fra 0 til 10.
- Foranstaltning · det korte navn fra listen ovenfor.
- Ejer · den person, der lægger materialet ind og holder det opdateret.
- Hvor dokumenterne ligger · et link eller en sti til det eksisterende dokument.
- Sidst set efter · datoen, hvor ejeren sidst har kontrolleret, at materialet er aktuelt.
- Mangler · det, I ved, der ikke er på plads endnu.
Feltet “Mangler” er det vigtigste. En ærlig liste over huller viser auditor, at I kender jeres egen status. Den bliver også udkastet til handlingsplanen, hvis auditten finder det samme.
Hvad der tæller som dokumentation
I vejledningens ordliste er dokumentation først og fremmest skrevne politikker og procedurer, tilgængelige for de medarbejdere, der skal bruge dem, og i virksomhedens sædvanlige format. Over for tilsynet kan logs fra netværksovervågning, udskrifter af adgangstilladelser og referater også tælle. Dokumentationen skal kunne gøres tilgængelig for tilsynet.
Vejledningen skelner mellem det, der skal gennemføres, og det, der bør. For det, der skal, kræves dokumentation. For det, der bør, skal enheden kunne forklare, hvorfor det ikke er gennemført, hvis det ikke er. Den forklaring hører også i mappen. Skelnen er forklaret i skal, bør og kan.
Ingen formkrav til dokumenterne
I FAQ’en til kommunetilsynet skriver styrelsen, at der ikke er krav til bestemte formater eller samlinger af politikker og procedurer. Så længe de dækker indholdet, virker efter hensigten og kan dokumenteres, er det nok. FAQ’en er skrevet til kommunerne. Det er vores læsning, at samme tanke gælder for private virksomheder, da tilsynet bygger på den samme vejledning.
Derfor behøver I ikke skrive nye dokumenter til mappen. Et link til det eksisterende dokument og en kort note om, hvor det ligger, er ofte nok. Hvordan auditor vægter de forskellige former, forklarer bevis i en NIS2-audit.
Mappen og tilsynet
Myndigheden kan kræve oplysninger og dokumentation, også dokumentation for, at cybersikkerhedspolitikkerne er gennemført (§ 21, stk. 1, nr. 5-7, for væsentlige enheder og § 24, stk. 1, nr. 4-6, for vigtige). Når myndigheden beder om noget, skal den oplyse formålet og præcist sige, hvad den vil have, og i hvilket format (§ 21, stk. 2, og § 24, stk. 2).
En ordnet mappe gør det lettere at svare præcist på netop det, der spørges om, uden at sende mere end nødvendigt. Hvordan materialet afleveres, står i aflevering af bevis. Den del af mappen, der handler om leverandører, er emnet for leverandøraudit og kundens krav.
Hvad det kræver, og hvad det koster at lade være
At bygge mappen kræver, at én person ejer den, og at hver af de ti undermapper har en ansvarlig, der lægger materialet ind og holder det opdateret. Første gang tager det længst. Derefter er det vedligehold.
Uden mappen går auditten i gang med at lede efter dokumenter. Auditors tid bruges på at finde materiale, og de samme spørgsmål kommer igen, når tilsynet beder om dokumentation.
Det skal I lade være med
- At skrive nye dokumenter til mappen · henvis til det, der findes og bruges.
- At krydse af på tro · et kryds uden dokument holder ikke, når auditor spørger.
- At glemme mappe nul · ledelsens godkendelse og kurser er et selvstændigt krav.
Det skal auditten kunne vise
- ☐ Materiale for hvert af lovens ti punkter.
- ☐ Ledelsesorganets godkendelse og kursusbeviser efter § 7.
- ☐ Risikoejernes accept af restrisiko med rapportering til ledelsen.
- ☐ Begrundelser for anbefalinger, der ikke er fulgt.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7, 21 og 24, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, ordlisten, s. 9 og afsnit 1.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 5, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026 (19. maj 2026), https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn med kommuner 2026, FAQ (opdateret 4. juni 2026), https://samsik.dk/wp-content/uploads/2026/02/FAQ-04-06-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Interviews i auditten · Forløbet i en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
