ENISA’s tekniske vejledning fra juni 2025 giver til hvert krav en liste med eksempler på bevis. Listerne er gode til at se, hvilke slags dokumenter og spor en auditor kan bede om, men de er ikke bindende, og ENISA skriver selv, at det ville være meget strengt at kræve dem alle.
For en dansk virksomhed under NIS 2-loven er vejledningen derfor et opslagsværk. Den kan pege på huller i jeres bevismappe. Den kan ikke afgøre, hvad I mangler.
Hvad vejledningen er
Titlen er “Technical implementation guidance on cybersecurity risk management measures”, version 1.0, udgivet af EU’s agentur for cybersikkerhed, ENISA, i juni 2025. Den knytter sig til gennemførelsesforordning (EU) 2024/2690 og er skrevet til de digitale enheder, forordningen gælder for: udbydere af cloud, datacentre, administrerede tjenester og nogle få andre typer.
Hvert krav i forordningens bilag følges af tre dele i vejledningen. Først en forklaring. Dernæst eksempler på bevis. Til sidst gode råd. Det er den midterste del, der er interessant for en audit.
Styrelsen for Samfundssikkerhed oplyser, at dens egne vejledninger om foranstaltninger og om hændelsesunderretning er udarbejdet på baggrund af det fortolkningsbidrag, ENISA har udsendt. Sproget og opbygningen vil derfor virke bekendt for den, der kender de danske vejledninger.
Hvad vejledningen selv siger om sin status
ENISA er usædvanlig klar. Ansvarsfraskrivelsen siger, at dokumentet ikke er juridisk bindende og alene er rådgivende. Det er medlemslandene, der bestemmer, hvordan tilsynet foregår. Vejledningen kan ikke afgøre, om en enhed skal have alt eller kun noget af det angivne bevis. ENISA tilføjer i en parentes, at det ville være en meget streng tilgang til tilsyn at kræve alt bevis på listerne.
Om selve eksemplerne skriver ENISA, at de er vejledende typer af bevis, at listerne ikke er udtømmende, og at hel eller delvis gennemførelse ikke betyder, at kravet er opfyldt. Enhederne kan vælge andre metoder og andet bevis. Et enkelt bevis kan understøtte flere krav, fx et organisationsdiagram, der viser både roller og rapporteringsveje. Det samme forbehold rammer auditrapporten, som det fremgår af grænserne for en NIS2-audit.
Sådan bruger en audit listerne
Brugt rigtigt gør listerne to ting. De hjælper jer med at forberede bevismappen, så auditor ikke skal spørge efter det samme mange gange. Og de hjælper auditor med at formulere en anmodning, I kan forstå.
Et tænkt eksempel: en virksomhed viser sin risikostyring med en risikoliste i et ledelsessystem, hvor godkendelserne er logget, i stedet for med de dokumenter og referater, en eksempelliste peger på. Viser sporet det samme, nemlig at risici er vurderet, behandlet og accepteret af den rette, er det et lige så godt bevis.
Det er dér, listerne skal holdes på plads. En auditor, der sætter kryds ud for hvert eksempel og noterer et fund, hvor I har valgt et andet bevis, bruger vejledningen forkert. Kriterierne kommer fra NIS 2-loven og Styrelsen for Samfundssikkerheds vejledning. ENISA’s lister siger noget om, hvordan opfyldelsen kan vises. Hvad der i øvrigt tæller, står i hvad tæller som bevis.
Når I ikke er en digital enhed
Hos en almindelig enhed under NIS 2-loven er ENISA’s vejledning inspiration til bevistyper, ikke et krav. Det bør stå i opdraget, hvis auditor vil bruge den. Den passer bedst, hvor forordningens punkter og lovens punkter ligner hinanden, fx ved hændelseshåndtering, backup og adgangsstyring.
Den passer dårligere ved punkter, der kun findes i forordningen. Et bevis for en uafhængig gennemgang efter bilagets punkt 2.3 er relevant for en udbyder af administrerede tjenester, men et fravær af den er ikke et fund hos en fødevareproducent. Forskellen er beskrevet i forordning 2024/2690 som målestok.
Ordner I bevismappen efter lovens ti foranstaltninger, kan ENISA’s eksempler bruges som en tjekliste til jer selv, før auditor kommer. Sådan en mappe er beskrevet i dokumentlisten og bevismappen.
Hvad det kræver, og hvad det koster at lade være
At bruge vejledningen kræver tid til at læse de kapitler, der svarer til jeres foranstaltninger, og et valg af, hvilke eksempler der passer til jeres praksis. Vejledningen er på engelsk og lang, så det er en opgave for den, der kender jeres sikkerhedsarbejde.
Ignorerer I den, går I glip af det mest detaljerede bud på, hvad en myndighed kan forvente at se. Bruger I den som facitliste, får I det modsatte problem: en bevismappe, der vokser for at opfylde eksempler, ingen har krævet, og en audit fuld af fund, der ikke har hjemmel.
Det skal I lade være med
- At gøre ENISA’s eksempler til krav · vejledningen kalder sig selv rådgivende.
- At afvise et bevis, fordi det ikke står på listen · andre beviser kan vise det samme.
- At bruge forordningens særlige punkter hos en almindelig enhed · de gælder de digitale enheder.
Det skal auditten kunne vise
- ☐ Om ENISA’s vejledning er brugt, og i hvilken rolle, skrevet i opdraget.
- ☐ For hvert kriterium det bevis, enheden selv har valgt.
- ☐ At fund alene bygger på lov og dansk vejledning.
- ☐ Beviser, der dækker flere krav, krydsrefereret.
Kilder
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det kapitel i ENISA’s vejledning, der svarer til jeres svageste område, og sammenlign eksemplerne med det, I har.
Læs også: Skal, bør og kan · Hvad en NIS2-audit ikke kan bevise
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
