Et årshjul er en kalender over de kontroller, gennemgange og øvelser, virksomheden selv udfører i løbet af året. Det fylder tiden mellem de eksterne audits og giver ledelsesorganet en løbende status. Under NIS 2-loven er mange af punkterne noget, myndighedens vejledning forventer gentaget, men kun få har en fast frekvens. Resten er jeres eget valg.
Årshjulet er også det, der gør næste audit lettere. Når kontrollerne er udført og dokumenteret undervejs, ligger beviset klar.
Hvad der har en fast frekvens
Der er få faste frekvenser i reglerne. Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger anbefaler, at politikken for informationssystemsikkerhed ajourføres årligt og ved væsentlige ændringer. Det står som en anbefaling, og der står ingen tilsvarende frekvens ved kravene.
I forordning 2024/2690 er det et krav til de digitale enheder, at risikovurderingen og risikostyringsplanen bliver gennemgået mindst én gang om året. Det gælder kun forordningens enheder, men det kan bruges som målestok af andre.
Alle andre frekvenser i et årshjul, også dem i denne artikel, er eksempler. Jeres egen risikovurdering bør afgøre dem.
Hvad vejledningen forventer gentaget
Vejledningen bruger ofte udtrykket “med planlagte intervaller”. Det betyder, at I selv fastsætter intervallet, skriver det ned og holder det. Disse punkter går igen.
Risikostyring. Politikken for risikostyring revideres med planlagte intervaller, og risikohåndteringsplanen skal revurderes regelmæssigt.
Logning. Procedurerne for logning gennemgås med planlagte intervaller, og vejledningen anbefaler, at der føres dokumentation for, at gennemgangen sker til tiden.
Effektivitet. Foranstaltningerne vurderes løbende, og politikken og procedurerne bag vurderingen opdateres efter en fastlagt plan og når der sker større ændringer.
Tekniske test. Behovet vurderes løbende, og testdokumentationen gennemgås med planlagte mellemrum. Test kan også udløses af større ændringer og hændelser.
Leverandører. Procedurerne for leverandørstyring bør gennemgås med planlagte intervaller eller efter en hændelse.
Ledelsens kurser. Kursuskravet til ledelsesorganets medlemmer i § 7, stk. 2, hører naturligt i årshjulet, sammen med beviset for deltagelsen.
Et eksempel på et årshjul
Det følgende er et tænkt eksempel. Det skal tilpasses jeres risiko.
Hvert kvartal: gennemgang af privilegerede konti, kontrol af, at backup kan gendannes for et udvalgt system, og status på handlingsplanen til ledelsen.
Hvert halve år: en rapport til ledelsen om, hvor langt mål og handleplaner er nået, og hvad målingerne viser. Myndigheden har selv valgt halvåret i sit eksempel om ledelsesrapportering i vejledningen om ledelsens rolle. Eksemplet viser en mulig rytme og forpligter ikke.
Hvert år: ajourføring af politikken, ny risikovurdering, gennemgang af leverandøraftaler, en øvelse i hændelseshåndtering og ledelsesorganets kurser.
Efter behov: ny vurdering ved større ændringer, efter hændelser og efter en ekstern audit.
Hvordan en øvelse dokumenteres, så den tæller som bevis, står i krisestyring og øvelser.
Hvem der udfører egenkontrollen
Egenkontrol bliver svag, hvis den, der har bygget foranstaltningen, også kontrollerer den. Vejledningen lægger derfor op til, at det er beskrevet, hvem der foretager vurderingen af effektivitet. I en mindre virksomhed kan løsningen være, at to personer kontrollerer hinandens områder, eller at en ekstern part tager enkelte punkter. Se den mindre NIS2-virksomhed.
Egenkontrollen erstatter ikke en uafhængig audit. Den gør den mere præcis. Rytmen for den eksterne audit er behandlet for sig i hyppigheden af NIS2-audits, og den bør passe sammen med årshjulet, så de to ikke dækker det samme to gange.
Kontrollen med leverandørerne kan bygges ind i samme årshjul, og den behandles i dybden under opfølgning på leverandører.
Sådan dokumenteres egenkontrollen
Hver kontrol i årshjulet bør efterlade et lille spor med dato, udfører, hvad der blev set, og om der var afvigelser. Det kan være et kort notat, et udfyldt skema eller en sag i jeres sagssystem. Ved logning anbefaler vejledningen, at det dokumenteres, at gennemgangen sker på det planlagte tidspunkt, og samme tanke kan bruges for alle punkter. Afvigelser fundet i egenkontrollen bør behandles som fund med ejer og dato, så de ikke forsvinder mellem to audits. Samlet giver sporene ledelsesorganet en status og næste auditor et materiale at tage stikprøver i.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ejer for årshjulet, en kalender, hvor hver kontrol har en ansvarlig og en dato, og en fast måde at dokumentere resultatet på. Ledelsesorganet bør godkende årshjulet og få status på det.
Uden årshjul sker kontrollerne, når nogen husker dem. Ved næste audit mangler beviset for, at de er udført, og kravet om løbende vurdering er svært at dokumentere.
Det skal I lade være med
- At skrive faste frekvenser som krav, hvor vejledningen ikke har dem · intervallerne er jeres eget valg.
- At lade samme person bygge og kontrollere · egenkontrollen mister sin værdi.
- At udføre kontroller uden at gemme resultatet · så findes beviset ikke ved næste audit.
Det skal auditten kunne vise
- ☐ Et årshjul med kontrol, ansvarlig og dato for hvert punkt.
- ☐ Fastsatte intervaller, hvor vejledningen siger “med planlagte intervaller”.
- ☐ Dokumentation for, at kontrollerne er udført til tiden.
- ☐ Status til ledelsesorganet.
- ☐ Ledelsesorganets kurser.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.a, 1.b, 2.b, 4, 6.a og 6.b, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, s. 8, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 2.1.4, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de punkter op, vejledningen siger skal gentages, og sæt et interval og et navn ud for hvert.
Læs også: Vurderer I selv, om foranstaltningerne virker? · Auditplan eller auditprogram
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
