Efter NIS 2-loven skal I have faste politikker og procedurer, som bedømmer, hvor godt jeres sikkerhedsforanstaltninger virker. Hvem der vurderer, bestemmer I selv. Vurderingen skal findes og være beskrevet. Viser den, at I ikke overholder et krav, skal I efter § 6, stk. 2, rette op uden unødigt ophold.
Punktet er det tætteste, loven kommer på et krav om audit. Det er derfor også det sted, hvor en intern eller ekstern audit naturligt hører hjemme.
Lovteksten
Nummer seks i § 6, stk. 1, beder om politikker og procedurer, der kan afgøre, hvor godt risikostyringen virker. Styrelsen for Samfundssikkerhed gengiver i vejledningen fra juni 2025 bemærkningerne til loven. Ifølge dem skal enhederne både have en politik og procedurer for selve effektivitetsvurderingen og for at bedømme, om der er brug for tekniske test. Sårbarhedsscanning og penetrationstest nævnes som eksempler.
Ordet “audit” står ikke i § 6. Det står kun i lovens regler om tilsyn, hvor myndigheden kan foretage sikkerhedsaudits eller kræve dem udført. Det er forklaret i kræver NIS 2-loven en audit?.
Hvad vejledningen kræver
Vejledningen har tre “skal” under punktet. Der skal være en politik for løbende vurdering af foranstaltningerne. Vurderingen skal undersøge, om foranstaltningerne er tilstrækkelige mod de relevante risici, og om informationssikkerhedspolitikken er i overensstemmelse med egne krav, lovgivning og relevante gennemførelsesforordninger. Og der skal være procedurer for vurderingerne og for at vurdere behovet for tekniske test.
Testdelen er uddybet i beslutningen om testtyper og hyppighed.
Hvad den bør indeholde
Vejledningen anbefaler, at politikken beskriver værktøjer og metoder, en vurdering af, om lovgivningen overholdes, metoder til at se, om politikken efterleves, og om foranstaltningerne er implementeret effektivt. Den bør have en metode til at følge op på ineffektive foranstaltninger og angive, hvem der skal udføre vurderingerne. Den bør tage højde for risikovurderinger og tidligere hændelser.
Anbefalingen om at angive, hvem der vurderer, er vigtig. Vejledningen siger ikke, at vurderingen skal laves af en ekstern eller en uafhængig. Den siger, at det bør stå, hvem der gør det.
Hvor auditten passer ind
En audit kan dække kravet helt eller delvist. Det er en tolkning, som holder sig tæt til vejledningens ord. En audit undersøger netop, om foranstaltningerne er implementeret og virker, og om politikken efterleves.
Styrelsens vejledning om ledelsens rolle fra maj 2025 giver eksempler på, hvordan ledelsesorganet kan føre sit tilsyn efter § 7. To af dem er revision, enten intern eller ekstern, der melder resultaterne tilbage til ledelsen. Det viser, at myndigheden ser revision som et redskab. Det gør det ikke til et krav.
Valget mellem intern og ekstern er beskrevet i intern eller ekstern NIS2-audit. Hvordan vurderingen kan fordeles over året mellem de større gennemgange, står i egenkontrol og årshjul. Vil I se udviklingen år for år mod samme skala, handler det om måling af sikkerhedsmodenhed over tid.
Hvad auditor ser efter, når punktet selv auditeres
Arbejdsgangen herunder er almindelig auditpraksis.
Auditor læser politikken og spørger, hvad den dækker. Er alle ti foranstaltninger i § 6 med, eller kun dem, der er lette at måle? Står det, hvem der vurderer, og med hvilken metode?
Derefter beder auditor om resultaterne af den seneste vurdering. Der skal være noget at se: en rapport, en liste over kontroller med resultat, et referat. En politik uden resultater viser, at proceduren ikke er brugt.
Til sidst følger auditor et par af de foranstaltninger, vurderingen fandt utilstrækkelige. Blev de rettet? Er der en ejer og en frist? Pligten til at rette op hurtigt står som nævnt i § 6, stk. 2. Vurderingen er det, der finder manglerne, så opfølgningen er en del af beviset. Det uddybes i fra fund til handlingsplan.
Når en vurdering ikke er en vurdering
En selvevaluering, hvor den ansvarlige svarer ja til alle spørgsmål uden at vise noget, er en erklæring. Den kan være et godt udgangspunkt. Den viser ikke, om foranstaltningerne virker, fordi ingen har set efter. Forskellen mellem design, indførelse og virkning er beskrevet i design, indførelse og virkning.
Hvad det kræver, og hvad det koster at lade være
Kravet kræver en politik, der siger, hvad der vurderes, af hvem og hvor ofte, og et sted, hvor resultaterne og opfølgningen gemmes. Har I en intern kontrolfunktion, kan den bære en stor del. En ekstern audit kan supplere, hvor uafhængighed eller faglighed mangler. Ønsker I en uvildig ekstern vurdering, kan Nielco IT udføre den som en NIS2-audit uden forhandleraftaler. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Uden vurderingen kan ledelsesorganet ikke føre det tilsyn, § 7 kræver, og I opdager først en foranstaltning, der ikke virker, når den svigter.
Det skal I lade være med
- At tro, at kravet er opfyldt med en årlig ekstern rapport · loven beder om politikker og procedurer for løbende vurdering.
- At vurdere de lette foranstaltninger og springe resten over · vurderingen skal undersøge, om foranstaltningerne er tilstrækkelige mod de relevante risici.
- At lade fund fra vurderingen ligge · § 6, stk. 2, kræver korrigerende foranstaltninger uden unødigt ophold.
Det skal auditten kunne vise
- ☐ En politik for løbende vurdering af foranstaltningernes effektivitet.
- ☐ Procedurer, der siger, hvordan, hvor ofte og af hvem vurderingen udføres.
- ☐ Resultater fra den seneste vurdering.
- ☐ Opfølgning på foranstaltninger, der blev fundet ineffektive, med ejer og frist.
- ☐ En kobling til risikovurderingen og tidligere hændelser.
- ☐ Rapportering af resultaterne til ledelsesorganet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7, 21 og 24, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 6, afsnit 6.a, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 4, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres seneste vurdering af foranstaltningerne frem, og tæl, hvor mange af de ti punkter i § 6, stk. 1, den dækker.
Læs også: Tallene bag ledelsesrapporteringen · Audit af risikovurderingen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
