...
Spørgsmål om sikkerhedsaudit
Her er de spørgsmål, ledelser, compliance-ansvarlige og IT-ansvarlige oftest stiller, før og efter en sikkerhedsaudit. Hvert svar er kort, og under det står den artikel, der går i dybden. Reglerne er gengivet forenklet og skal læses som generel viden, ikke som juridisk rådgivning.
Sikkerhedsaudit
Hvad er en sikkerhedsaudit?
Auditor undersøger systematisk, hvordan IT-sikkerheden bliver styret og udført, og holder det, der findes, op mod kriterier aftalt før start. Rapporten viser, hvor I lever op til målestokken, og hvor I ikke gør.
Hvad hedder audit på dansk?
Typisk revision eller gennemgang. Nogle af ordene er bundet til en lov, andre er ikke, så skriv i aftalen, hvad I forventer at få.
→ Audit, revision, gennemgang og tjek
Hvad er forskellen på en audit, en penetrationstest og en sårbarhedsscanning?
Scanneren leder efter kendte huller. Pentesteren prøver at bruge dem. Auditor ser på, om jeres arbejdsgange får hullerne opdaget og lukket. Spørgsmålet, I stiller, afgør valget.
→ Audit, pentest eller scanning
Er revisors IT-revision det samme som en sikkerhedsaudit?
Nej. Revisors fokus er de IT-kontroller, regnskabet hviler på. Sikkerhedsauditten favner hele IT-sikkerheden og måles mod jeres egne kriterier. En ren påtegning fortæller lidt om resten af miljøet.
→ Sikkerhedsaudit eller IT-revision
Hvad er forskellen på en compliance-audit og en risikobaseret audit?
Den ene måler mod et regelsæt. Den anden måler mod de trusler, der er reelle for netop jer. En virksomhed kan bestå den ene og dumpe den anden, og de to kan samles i ét opdrag.
→ Compliance-audit eller risikoaudit
Hvad er en GDPR-audit?
Ordet bruges om flere opgaver: lovligheden af behandlingerne, beskyttelsen af oplysningerne efter artikel 32, kontrol af databehandlere eller en erklæring fra revisor. Skriv i opdraget, hvilken af dem I vil have.
Hvad er forskellen på intern og ekstern audit?
Skellet handler om, hvem der bestiller, og hvis formål resultatet tjener. Bestiller I selv, er auditten intern, også selv om en udefra udfører den. Bestiller en kunde eller et certificeringsorgan til eget brug, er den ekstern.
Hvad betyder det, at en auditor er uvildig?
Auditor vinder intet ved bestemte fund. Det udelukker, at auditor selv har bygget løsningen, skal levere rettelserne eller får provision for at anbefale noget. Spørg ind til det, før I skriver under.
Kan vi bruge IT-leverandørens egen vurdering af sikkerheden?
Til at begynde med, fordi leverandøren kender driften. Men driver, sælger og bedømmer den samme part, mangler et blik uden egeninteresse på, hvad der halter.
→ Når leverandøren vurderer sig selv
Hvad er forskellen på en modenhedsvurdering og en efterlevelsesaudit?
Efterlevelse er et ja eller nej til et kravsæt i dag. Modenhed er en placering på en skala med et næste trin. Begge kan indgå i samme forløb med hver sin metode.
Hvad er forskellen på en teknisk gennemgang og en audit af styringen?
Den tekniske gennemgang finder fejl i opsætningen. Auditten af styringen viser, hvorfor fejlene opstår: ejerskab, godkendelse af ændringer og evnen til at opdage dem.
→ Teknisk gennemgang eller styring
Giver en sikkerhedsaudit et ISO 27001-certifikat?
Nej. Certifikatet kommer fra et certificeringsorgan efter dets egen audit, og standarden kræver desuden intern audit efter punkt 9.2. En sikkerhedsaudit leverer en rapport.
Hvornår skal vi have en ISAE-erklæring frem for en auditrapport?
Når kunder eller andre uden for huset skal kunne stole på resultatet. Erklæringen følger en international standard. Rapporten er et arbejdsredskab for jeres ledelse.
→ Erklæring eller auditrapport
Hvad måler en sikkerhedsaudit imod, når ingen lov stiller krav?
Det, I beslutter: jeres politik, et rammeværk, en kundes krav eller råd fra en myndighed. Skriv valget ind i opdraget, så målestokken ikke bliver auditors.
Kan CIS Controls bruges som målestok i en mindre virksomhed?
Ja. IG1 er rammens basisudsnit og henvender sig til virksomheder uden stor ekspertise. Den giver et fast mål, som kan genbruges ved næste audit.
→ CIS Controls som auditgrundlag
Er D-mærket et alternativ til en sikkerhedsaudit?
De supplerer hinanden. Mærket signalerer udadtil og efterprøves ved et tilsyn. Auditten giver ledelsen fund mod jeres valgte kriterier.
Kan en audit garantere, at vi er sikre?
Nej. Den beskriver tilstanden på indsamlingstidspunktet, inden for omfanget og ud fra stikprøver. Den er hverken certifikat, godkendelse eller revisorerklæring.
→ Hvad en sikkerhedsaudit ikke kan
Hvilke områder indgår i en sikkerhedsaudit?
Som regel ledelse og dokumentation, adgang, backup, leverandører, medarbejdere og teknik. Risikoen afgør, hvilke der tages med og hvor dybt. Vil man dække alt lige meget, bliver opdraget enten stort eller tyndt.
→ Hvad indgår i en sikkerhedsaudit?
Er en tjekliste nok til en audit?
Nej. Listen hjælper auditor med at nå hele vejen rundt, men målestokken ligger et andet sted. Et ja uden bevis tæller ikke.
Gælder en audit af virksomheden også for det software, vi sælger?
Nej. Virksomhedens egne systemer er én genstand. Et produkt, I sælger, er en anden med sine egne regler og kræver en gennemgang af produkt og udvikling.
→ Virksomheden eller produktet
Hvilke slags sikkerhedsaudit findes der?
Den brede audit med NIS2-auditten, leverandøraudit, offentlig IT-audit, modenhedsvurdering, teknisk gennemgang og gennemgang af software efter Cyber Resilience Act. Spørgsmål og modtager adskiller dem.
Anledninger
Hvornår giver en sikkerhedsaudit mening?
Når nogen skal have et belagt svar på, om sikkerheden holder mål med et krav. Hvem der spørger, bestemmer målestokken og formen.
Hvor ofte skal en virksomhed uden NIS 2 have en audit?
Det er jeres eget valg. Lad tempoet i forandringerne og i trusselsbilledet styre intervallet, og bestil en ny, når den gamle rapport ikke længere passer.
Kan en audit hjælpe med cyberforsikringens spørgeskema?
Ja. Den viser før fornyelsen, om hvert ja kan bakkes op af noget konkret.
Hvad sker der, hvis svarene til forsikringen ikke holder?
Forsikringsaftaleloven regulerer urigtige oplysninger og senere ændringer, og følgen afhænger blandt andet af, hvor bevidst fejlen var. Spørg en advokat om jeres konkrete sag.
→ Urigtige svar til forsikringen
Hvordan får bestyrelsen et uafhængigt billede uden et lovkrav?
Ved selv at stå for opdraget, modtage rapporten uden mellemled og lægge opfølgningen fast. Formen er fri, og netop derfor bør den tænkes igennem.
→ Bestyrelsen vil have et uafhængigt billede
Skal kunden have vores auditrapport, når de beder om dokumentation?
Normalt ikke. Giv kunden et svar, et uddrag eller en bekræftelse, der dækker spørgsmålet, og behold rapporten internt.
Vores kunde er omfattet af NIS 2. Gælder kravene så for os?
Ikke som lovkrav. Men kunden skal styre sin forsyningskæde, og det mærker I som kontraktkrav og spørgeskemaer. En audit hos jer selv gør svarene lettere.
Hvad kan en audit give en ny direktør eller IT-ansvarlig?
Et udgangspunkt med dato. Så kan den nye leder skille det overtagne fra det, der bliver sat i gang efter tiltrædelsen.
Hvad kan en audit bruges til efter et angreb?
Til at se, hvilke tiltag der burde have stoppet eller dæmpet angrebet, og hvorfor de svigtede. Den kommer efter den tekniske undersøgelse og ser på styringen.
Hvornår er en virksomhed vokset fra sin IT?
Når én medarbejders overblik stadig bærer sikkerheden, mens antallet af systemer og brugere vokser. En audit peger på det, der først bør skrives ned og fordeles.
Kræver GDPR en sikkerhedsaudit?
Ikke med de ord. Artikel 32 nævner løbende afprøvning af sikkerheden, hvor det er relevant, og I skal kunne påvise, at reglerne følges. En audit er en måde at få det på skrift.
Kan en virksomhed under NIS2-grænsen få noget ud af en audit?
Ja. Uden pligt kan den bruge lovens ti punkter som frivillig målestok og stå bedre, hvis den vokser ind under loven.
Stiller bogføringsloven krav til IT-sikkerheden?
Ja. Digitale bogføringssystemer skal følge anerkendte sikkerhedsstandarder og tage automatiske sikkerhedskopier, og for uregistrerede systemer gælder skarpere regler i en bekendtgørelse.
→ Bogføringsloven og IT-sikkerhed
IT-sikkerhedstjek for mindre virksomheder
Hvad er et IT-sikkerhedstjek?
En kort gennemgang udefra af de vigtigste områder, der ender med få sider og en prioriteret liste. Det passer til virksomheder uden egen sikkerhedsansvarlig.
→ Hvad er et IT-sikkerhedstjek?
Hvornår er et sikkerhedstjek nok, og hvornår skal vi have en fuld audit?
Tjekket rækker, når I selv vil vide, hvor I skal begynde. Stiller en lov, kunde, forsikring eller bestyrelse krav om et svar mod faste kriterier, skal der en fuld audit til.
→ Sikkerhedstjek eller fuld audit
Hvilke områder dækker et sikkerhedstjek?
Seks i alt: adgang, mail, backup, opdatering, fjernadgang og leverandørerne. Hvert giver ledelsen ét spørgsmål at tage stilling til.
IT-leverandøren siger, at alt er fint. Hvordan får vi et uafhængigt svar?
En person, leverandøren ikke har tilknytning til, ser på det, der kan ses hos jer, og leverandøren får spørgsmål, der skal besvares med dokumentation. Revisionsret er ikke nødvendig.
→ IT-leverandøren siger, at alt er fint
Hvem ejer fundene, når vi ingen IT-ansvarlig har?
Giv hvert fund et navn og en dato. Ejeren svarer for resultatet, mens selve arbejdet godt kan udføres af IT-leverandøren eller en kollega.
Hvad skal vi have klar til et sikkerhedstjek?
Overblik over systemer og konti, aftalerne med leverandører, oplysninger om backuppen og en person, der kan åbne for læseadgang.
→ Forberedelse til sikkerhedstjek
Kan vi tjekke os selv, før vi bestiller?
Ja. Myndighedernes værktøjer giver et første billede og gode spørgsmål. Ingen efterprøver svarene, så de er ikke bevis.
Hvordan ser en god rapport fra et sikkerhedstjek ud?
Få sider til ledelsen, ordnet efter hvad der skal løses først. Hvert fund er beskrevet, vurderet, ledsaget af et råd og et konkret næste skridt.
→ Rapporten fra et sikkerhedstjek
Hvad gør vi i månederne efter tjekket?
Sorter fundene i det hurtige, det, der kræver en aftale eller beslutning, og det, der bevidst skubbes. Efter et kvartal bør de to første være klaret.
Hvor lang skal en IT-sikkerhedspolitik være i en lille virksomhed?
Så kort, at den bliver læst og fulgt. Ledelsen skal have godkendt den, og auditor sammenligner teksten med hverdagen.
→ IT-sikkerhedspolitikken i en lille virksomhed
Hvad skal en risikovurdering af IT indeholde i en mindre virksomhed?
Trusler mod systemer og data, sandsynlighed og følger. Skal den bruges i en audit, skal den også vise de valgte tiltag og de risici, ledelsen har sagt ja til.
Kan Datatilsynets råd bruges som tjekliste?
Ja, hvis I behandler persondata og vil måles mod en myndigheds egne ord. Rådene dækker det grundlæggende, men handler om personoplysninger og ikke om al sikkerhed.
→ Datatilsynets råd som tjekliste
Hvad er pointen med et andet sikkerhedstjek?
At se udviklingen. Begynd med sidste års fund og gør status over lukkede, åbne og nye. Det forudsætter samme områder, kriterier og skala.
Bestilling og forberedelse
Hvordan bestiller vi en sikkerhedsaudit?
Skriv en side med spørgsmålet, målestokken, omfanget og modtageren. Den samme side kan gå til flere auditorer, og så kan svarene sammenlignes.
Hvordan afgrænser vi en audit, når ingen lov bestemmer omfanget?
Tag udgangspunkt i de processer, forretningen ikke kan undvære, og find systemer, steder og leverandører bag dem. Skriv også tydeligt, hvad der holdes ude.
→ Afgrænsning af sikkerhedsaudit
Hvordan vælger vi en auditor?
Se på uafhængighed, fag, metode, en prøve på en rapport og referencer. En personlig certificering viser uddannelse, ikke at auditten er godkendt.
Hvad afgør prisen på en sikkerhedsaudit?
Især omfanget og hvor dybt der skal graves. Tilbud er kun sammenlignelige, når omfang, kriterier og metode er ens.
Hvor lang tid tager en sikkerhedsaudit?
Det afhænger af omfanget, hvor ordnet materialet er, og hvor hurtigt jeres folk kan stille op til interviews og levere udtræk. Spørg auditor om en plan med faser og datoer, før I skriver under.
→ Forløbet i en sikkerhedsaudit
Skal vi have én stor audit eller flere mindre over tid?
En bred audit dækker meget på én gang med mindre dybde. Et program over flere år tager områderne på skift og går grundigere til hvert.
Kan en audit foregå på afstand?
Meget af den. Lokaler, serverrum og arbejdet ved skærmen ser auditor dog bedst ved at være der.
Findes der godkendte NIS2-auditorer?
Nej. Der er ingen offentlig godkendelse, og loven stiller ikke krav til den auditor, I vælger. Vælg ud fra kriterier, der overbeviser bestyrelse og tilsyn.
Må den rådgiver, der byggede vores NIS2-arbejde, også auditere det?
Det er ikke forbudt. Men den, der bedømmer sit eget arbejde, er ikke uvildig, og det må ledelsen tage stilling til.
→ Rådgiver auditerer eget arbejde
Skal vi bruge revisor, advokat eller sikkerhedsrådgiver til NIS2?
Revisor giver erklæringer til tredjemand. Advokaten fortolker loven i jeres sag. Sikkerhedsrådgiveren vurderer tiltagene og giver ledelsen fund. Hvem der skal bruge svaret, afgør valget.
→ Revisor, advokat eller sikkerhedsrådgiver
Hvad afgør prisen på en NIS2-audit?
Fire ting: antal selskaber, om forordning 2024/2690 gælder, hvor meget leverandører driver, og hvor mange af de ti punkter der er med.
Hvad skal stå i auditaftalen?
Omfanget, auditors adgang og vilkårene for den, beskyttelse og opbevaring af oplysninger, og hvordan auditor melder en mulig hændelse.
Hvordan samler vi bevismappen til en NIS2-audit?
Opret én undermappe pr. foranstaltning i § 6, stk. 1, altså ti i alt. Vejledningen og tilsynets spørgeskema bruger samme inddeling, så mappen kan bruges to gange.
Hvem skal med til interviews?
De medarbejdere og ledere, der laver, styrer og godkender arbejdet, ofte også uden for IT. Kend jeres procedurer, og hav papirerne parat.
Hvordan forløber en NIS2-audit?
Seks faser fra forberedelse og opstart over selve gennemgangen og to rapportudgaver til handlingsplanen. IT, ledelse og vigtige leverandører skal afsætte tid.
Kan en selvevaluering erstatte auditten?
Nej. Den viser jeres egen opfattelse og er en god start. Auditor beder om beviset bag hvert kryds.
→ Selvevaluering før NIS2-audit
Hvilken rolle har ledelsen i en NIS2-audit?
Den bliver interviewet om sin godkendelse og sit tilsyn, og den modtager rapporten og bestemmer, hvad der sker. IT kan ikke tage nogen af delene.
Kan bestyrelsen selv bestille en NIS2-audit?
Ja. Bestyrelsen skriver opdraget, får rapporten direkte og sikrer i aftalen, at auditor kan tale med de rigtige og se det nødvendige.
→ Bestyrelsen bestiller NIS2-audit
Hvad er forskellen på en auditrapport og en NIS2-erklæring efter ISAE 3000?
Rapporten er til jeres ledelse og indeholder fund og råd. Erklæringen kommer fra en godkendt revisor og bruges typisk af kunder, der skal følge med i deres leverandører.
→ Auditrapport eller NIS2-erklæring
Metode og bevis
Hvordan forløber en sikkerhedsaudit?
Samtale, gennemgang, rapport og fælles gennemgang af resultatet. Jeres egne leverancer undervejs afgør, hvor skarp auditten bliver.
→ Forløbet i en sikkerhedsaudit
Hvorfor beder auditor om logs frem for forklaringer?
En forklaring siger, hvad der var meningen. Loggen siger, hvad der skete og hvornår.
→ Logs og ændringsspor som bevis
Hvordan kan politikken være i orden, mens rapporten alligevel har et fund?
Fordi auditor også ser på, om politikken bruges, og om den har virket hele perioden. Et godt papir redder ikke en praksis, der halter.
→ Design, indførelse og virkning
Hvad tæller som bevis i en NIS2-audit?
Papirer, samtaler, iagttagelser og teknisk afprøvning. Vejledningen vægter det skrevne, så god praksis uden dokumentation risikerer at blive noteret som en mangel.
Hvad kan en stikprøve sige om resten?
Mest, når udvalget er repræsentativt, og når afvigelser bliver undersøgt frem for bortforklaret.
Hvordan afleverer vi bevis til auditor?
Saml det i én pakke med et indeks. Giv hvert bilag kilde og dato, og sæt et navn på, hvem der står inde for hver del.
Kan en compliance-platform levere beviset for os?
Den samler hurtigt og ensartet, men afgør ikke, om kravet er opfyldt. Auditor tjekker stadig data og dækning.
→ Compliance-platforme som bevis
Hvor dybt går auditor teknisk i en NIS2-audit?
Kun så dybt, som det kræver at efterprøve det, dokumentationen påstår. En fuld teknisk gennemgang bestilles for sig.
Kan en pentestrapport bruges som bevis i NIS2-auditten?
Til dele af kravene, fx om sårbarheder. Den gælder kun testens omfang og dato og siger intet om fx ledelsens godkendelse.
Hvad betyder opfyldt, delvist opfyldt og ikke opfyldt?
Skalaen er auditors redskab og findes hverken i loven eller vejledningen. Derfor skal rapporten selv definere trinene og målestokken.
Hvad gør vi, hvis vi er uenige i et fund?
Rejs det i høringen over den foreløbige rapport. Fejl og misforståelser kan rettes der, men et fund, der holder, bliver stående.
Hvordan viser vi ledelsesorganets godkendelse?
Med et referat, der nævner dato, punkt, dokument, version og deltagere. Har et udvalg haft opgaven, skal det også fremgå, at hele organet er orienteret.
→ Sporet efter ledelsens godkendelse
Udtaler auditten sig om én dag eller en periode?
Det skal fremgå. En dag viser en tilstand. En periode viser, at kontrollen har holdt over tid, og giver mere sikkerhed.
→ Øjebliksbillede eller periode
Hvad er en walkthrough?
Auditor vælger én sag og følger den hele vejen igennem. Så viser det sig, om afdelingerne griber ind i hinanden.
→ Følg en sag fra start til slut
Rapport og opfølgning
Hvad skal en NIS2-auditrapport indeholde?
En konklusion pr. minimumspunkt, grundlaget for den og et kort resumé, som ledelsesorganet kan træffe beslutning på.
Hvordan skal bestyrelsen læse en NIS2-auditrapport?
Som redskab til sit tilsyn efter § 7. Teknisk viden er ikke nødvendig. Gode spørgsmål til rapport og direktion er, og svarene hører hjemme i referatet.
→ Bestyrelsen læser auditrapporten
Hvordan bliver fund til en handlingsplan?
Hver opgave får en ansvarlig, en dato og ressourcer. Under NIS 2 skal ledelsesorganet godkende planen, og lovkrav skal rettes uden unødigt ophold.
Kan ledelsen vælge ikke at rette et fund?
Inden for lovens rammer, ja, fx ved en anbefaling eller restrisiko. Et uopfyldt minimumskrav i § 6, stk. 1, skal derimod rettes uden unødigt ophold.
Hvad gør ledelsen, når auditten viser store huller?
Sorterer lovkravene fra anbefalingerne, starter rettelserne af lovkravene, lader ledelsesorganet godkende tiltagene og planlægger resten.
Er auditrapporten bevis for ledelsens tilsyn?
Kun sammen med referater af behandlingen, beslutningerne og opfølgningen. Alene viser den bare, at nogen har kigget.
→ Rapporten som dokumentation for tilsyn
Hvem må få auditrapporten?
Det bestemmer I selv, for der er ikke fundet regler om det for private virksomheder. Tilsynet kan dog forlange dokumentation, og kunder og forsikring er som regel bedre tjent med et uddrag.
Hvornår er et fund lukket?
Når nogen har efterprøvet, at rettelsen virker. En besked om, at det er gjort, rækker ikke.
→ Opfølgningsaudit og lukkebevis
Hvad betyder det, når samme mangel står i to rapporter?
At den kendte mangel ikke er rettet, hvilket passer dårligt med § 6, stk. 2. Efter sitets tolkning bør ledelsesorganet behandle det som et spørgsmål om at overholde loven.
Hvad er et årshjul?
En plan over årets egne kontroller og øvelser, der udfylder pausen mellem eksterne audits og holder ledelsesorganet orienteret.
Hvad er en foranstaltning uden ejer?
Et tiltag, ingen står for at vedligeholde og rapportere om. Følgen er, at ingen accepterer risikoen, og at ledelsesorganet ikke hører om den.
Gælder NIS 2 også fuldt ud for den lille omfattede virksomhed?
Kravet om forholdsmæssighed tager hensyn til størrelsen, men minimumspunkterne gælder for alle.
Hvordan bliver auditrapporten til et budget?
Ordn anbefalingerne efter risiko, og marker lovkravene. Så kan ledelsen vælge, hvad der betales i år, hvad der venter, og hvad der droppes med en begrundelse.
NIS2-audit
Hvad er en NIS2-audit?
En uafhængig vurdering af, om jeres tiltag, papirer og underretning holder mål med loven, og om I kan dokumentere det over for tilsynet.
Skal vi have en NIS2-audit eller en gap-analyse?
I starten viser gap-analysen, hvad der mangler. Senere viser auditten, om det byggede holder.
→ NIS2-audit eller gap-analyse
Hvad betyder NIS2 compliance?
At I lever op til NIS 2-lovens krav: foranstaltningerne i § 6, ledelsens ansvar i § 7, registrering og underretning om hændelser. Ordet bruges ikke i loven. En audit kan vise, hvor langt I er, men det er tilsynet, der afgør, om loven er overholdt.
Kræver NIS 2-loven en audit?
Ikke ekstern. Men I skal selv vurdere, om tiltagene virker, ledelsesorganet skal føre tilsyn, og myndigheden kan pålægge jer en audit.
→ Kræver NIS 2-loven en audit?
Kan vi lave NIS2-auditten selv?
Ja, når ingen gennemgår sit eget ansvarsområde. En ekstern uvildig er et krav ved en pålagt audit og for digitale enheder.
→ Intern eller ekstern NIS2-audit
Hvad betyder skal, bør og kan i vejledningen?
Skal er pligt. Bør er en anbefaling, I kan fravælge med begrundelse. Kan er et eksempel. Niveauerne gør lovens ord om passende tiltag målbare.
Kan forordning 2024/2690 bruges, selv om den ikke gælder for os?
Ja, som skarpere målestok, hvis rapporten skriver, at punkterne er lånt og ikke er krav for jer.
→ Forordning 2024/2690 som målestok
Skal vi have alle beviserne i ENISA’s vejledning?
Nej. Eksemplerne er vejledende, og ENISA kalder det selv meget strengt at forlange dem alle.
→ ENISA-vejledningen som bevis
Kan vores ISAE-erklæring genbruges i NIS2-auditten?
Delvist. Den dækker de kontroller, perioder og ydelser, revisor har testet. Resten skal kontrolleres på ny.
Beviser en fulgt standard, at vi opfylder NIS2?
Nej. Standardhenvisningerne i vejledningen er til at finde rundt med, og vejledningen siger selv, at de ikke er bevis.
→ Standardhenvisningerne i vejledningen
Behøver en vigtig enhed en audit?
Kravene er de samme som for en væsentlig enhed. Kun tilsynets form og sanktionerne er forskellige, så kategorien er ingen grund til at springe over.
→ Væsentlig eller vigtig enhed
Hvornår skal den første NIS2-audit ligge?
Der er ingen frist. Vent, til politikker og procedurer har fungeret et stykke tid, men kom myndigheden i forkøbet.
Hvor ofte skal en NIS2-audit gentages?
Loven siger intet. Kilderne peger på et fast interval plus en ekstra runde efter store ændringer eller hændelser, og forordningen og ENISA bruger et år som pejlemærke.
Bliver vi NIS2-certificeret efter en audit?
Nej. Danmark har ingen NIS2-certificering, og efterlevelsen vurderes af myndigheden.
→ Hvad en NIS2-audit ikke beviser
Dækker et ISO 27001-certifikat NIS 2?
Delvist. Certifikatet gælder sit anvendelsesområde, og flere af lovens krav skal stadig kontrolleres hver for sig.
→ ISO 27001-certifikat og NIS2
Kan tilsynets spørgeskema til kommunerne bruges af en privat virksomhed?
Som prøve, ja. Skemaet fra maj 2026 gik til kommunerne, men bygger på vejledningen for alle, så private under samme styrelse kan bruge det til at teste deres svar.
→ Tilsynets spørgeskema som selvprøve
Kan vi selv vælge, hvilke systemer der er med i NIS2-auditten?
Nej. Alle systemer bag jeres drift og tjenester er omfattet. Dybden og rækkefølgen kan I vælge.
Kun ét forretningsområde er omfattet. Hvad er med i auditten?
Hele selskabet med alle systemer. Niveauet må variere mellem områderne, hvis I kan begrunde det.
Skal en koncern have én NIS2-audit eller én pr. selskab?
Tit én fælles, hvor fælles IT kun gennemgås én gang, men hvor hvert omfattet CVR-nummer får sin egen konklusion.
Hvilke regler gælder for datterselskaber i andre EU-lande?
Typisk etableringslandets. Én audit kan dække alle, når kriterierne fastsættes selskab for selskab.
→ Datterselskaber i andre EU-lande
Gælder NIS 2 for os, når driften er outsourcet?
Ja. Auditten ser først på jeres styring af leverandøren, aftalen og jeres eget ansvar for underretning. Derefter på det, leverandøren skal stå til ansvar for.
→ Outsourcet drift i NIS2-audit
Kan NIS2 og GDPR auditeres samtidig?
Ja. Overlappende kontroller gennemgås én gang og rapporteres to steder hen. Risikovurderingen skal dog se på to slags skade.
Hvad måler auditten efter, når vi også er under energi-, tele- eller finanslovgivning?
Først placeres hver tjeneste under den rigtige lov. Så måles hver del for sig.
Hvad skal en audit holde adskilt, når vi er både NIS 2- og CER-omfattet?
Net- og informationssikkerheden hører til NIS 2. Den fysiske og øvrige modstandskraft hører til CER. Som kritisk enhed er I desuden væsentlig enhed.
Hvorfor skal auditten efterprøve størrelsesberegningen?
Størrelsen afgør for de fleste både om og hvordan de er omfattet. Regner virksomheden forkert, skrider resten.
→ Størrelsesberegningen efterprøvet
Hvordan finder en digital enhed sit hovedforretningssted?
Efter tre trin i loven. Resultatet afgør, hvilket lands regler der gælder, og vurderingen skal ligge på skrift.
→ Hovedforretningssted for en digital enhed
Er registreringen en engangsopgave?
Nej. Ændringer skal meldes hurtigt, så auditten bør sammenholde registreringen med virkeligheden.
Er OT med i NIS2-auditten?
Ja. Styringen af maskiner og anlæg regnes med, men vejledningen giver lempelser, som auditor ser efter, er brugt korrekt.
NIS2-kravene
Hvad kræver NIS 2-loven af ledelsen?
Fire ting: godkendelse af foranstaltningerne, løbende tilsyn, opfølgning på mangler og egne kurser. I et selskab med bestyrelse er det bestyrelsen.
Hvad spørger auditten om ved risikovurderingen?
Om skade på samfundet og andre er regnet med, om alle farer er dækket, og om en navngiven ejer har godkendt resultatet.
Er det nok, at sikkerhedspolitikken findes?
Nej. Auditten ser på, om de enkelte politikker hænger sammen med hovedpolitikken, er godkendt af rette ledelse og er blevet revideret.
→ Audit af sikkerhedspolitikkerne
Hvordan auditeres hændelseshåndteringen?
Auditor læser proceduren og følger sporet fra rigtige hændelser og øvelser hele vejen til læringen bagefter.
→ Audit af hændelseshåndteringen
Hvad er fristerne for at underrette om en væsentlig hændelse?
Varsling inden for 24 timer efter kendskab, underretning inden for 72 timer og slutrapport en måned derefter. Auditten prøver, om I kan nå det.
→ 24 timer, 72 timer og en måned
Hvornår består beredskabsplanen auditten?
Når dens antagelser stadig gælder, når genopretningen passer til nutidens afhængigheder, og når den er opdateret efter store ændringer.
Hvornår tæller en øvelse som bevis?
Når en udefra kan se scenarie, deltagere, fejl og de ændringer, øvelsen førte til.
Auditerer en NIS2-audit vores leverandører?
Nej. Den kontrollerer jeres egne procedurer for valg af, krav til og opfølgning på leverandører.
→ Audit af leverandørstyringen
Hvordan auditeres sikkerhed ved anskaffelse og udvikling?
Med konkrete eksempler: et købt system, et ændret og et udfaset, fulgt gennem livscyklussen.
Sætter NIS 2 en frist for at lukke sårbarheder?
Nej, ingen frist i dage. Auditor bruger jeres egne frister som målestok og ser på, om undtagelserne stadig er begrundede.
→ Audit af sårbarhedshåndtering
Skal vi selv vurdere, om foranstaltningerne virker?
Ja, med faste politikker og procedurer. I vælger selv, hvem der vurderer, og fund skal rettes uden unødigt ophold.
→ Effektivitetsvurdering efter NIS2
Er en deltagerliste nok som bevis for uddannelse?
Nej. Vejledningen anbefaler at måle træningens effekt, og det er dét, auditten ser efter.
→ Audit af cyberhygiejne og uddannelse
Hvad spørger auditten om ved kryptering?
Om politikken bygger på dataklassifikation og risiko, om den følges i praksis, og hvem der har ansvaret for nøglerne.
Hvordan auditeres personalesikkerhed?
Ved at følge en nyansat, en, der har skiftet rolle, og en, der er stoppet, fra HR til adgangene i systemerne.
Hvad ser auditten på i adgangsstyringen?
Tildeling og godkendelse af rettigheder, den løbende gennemgang og styringen af administratorkonti, alt sammen med stikprøver.
Er et aktivregister et lovkrav?
Ikke direkte, for vejledningen bruger kan og bør. Men uden overblik over aktiverne bliver alle andre konklusioner usikre.
Kræver NIS 2 nødkommunikation?
Hvor det er relevant. Auditor ser efter en vurdering af behovet og kanaler, der virker uafhængigt af de daglige systemer og er testet.
Hvad ser auditten på ved logning og overvågning?
Hvilke kilder der logges, hvor længe, hvilke alarmer der findes, og om nogen reagerer på dem, målt mod vejledningens liste.
Skal vi have egne tærskler for en væsentlig hændelse?
Loven giver ingen tal, så egne grænser for nedetid, brugere og tab gør beslutningen hurtigere og lettere at forsvare.
→ Egne tærskler for væsentlig hændelse
Skal kunderne også have besked om en væsentlig hændelse?
Ja, efter § 15, når leveringen sandsynligvis rammes. Beskeden skal ud uden unødigt ophold.
Kræver NIS 2 nødstrøm og et ekstra datacenter?
Nej. Loven kræver en vurdering af behovet, som kan vises. Selve anlæggene beslutter I ud fra den.
Kræver NIS 2 en årlig penetrationstest?
Nej. Vejledningen kræver, at risikovurderingen bestemmer behov, type og hyppighed af tekniske test.
→ Beslutningen om tekniske test
Skal vi lave baggrundskontrol af medarbejdere?
Det kommer an på regelsættet. Mulighed for de fleste, krav for digitale enheder og en adgang med særlige regler for kritiske enheder.
→ Baggrundskontrol efter tre regelsæt
Hvad kræver NIS 2 om backup?
Procedurer, der sikrer kopier af relevante data og konfigurationer, så langt I finder det nødvendigt. Gendannelsestest og godkendelse af dem er anbefalinger.
Er MFA et krav efter NIS 2?
Hvor det vurderes relevant. Vejledningen kræver i så fald MFA eller løbende autentifikation og en dokumenteret gennemgang.
Hvilke krav er der til ledelsesorganets kurser?
Medlemmerne skal deltage. Form og indhold er frie, og kompetencen vurderes for organet samlet.
→ Ledelsens kurser som auditpunkt
Kan leverandøren underrette myndigheden for os?
Ja, det må den gerne. Hvis underretningen kommer for sent, er det stadig jeres ansvar.
→ Leverandøren underretter for jer
Kan andre læse vores hændelsesunderretning?
Måske. Ifølge vejledningen er pligtige underretninger ikke undtaget fra aktindsigt, så formuler dem med det for øje.
→ Underretninger og aktindsigt
Digitale enheder
Hvornår gælder forordning 2024/2690 for os?
Når I leverer fx administrerede tjenester, cloud eller datacenter. Så er bilaget målestokken for hele CVR-nummeret, også når tjenesten fylder lidt i forretningen.
→ MSP, cloud, hosting og datacenter
Er koncernens interne IT-selskab omfattet af forordningen?
Måske. Der er ingen fast praksis endnu, så auditten tjekker først, at koncernen har taget stilling skriftligt.
Må en digital enhed fravælge krav i bilaget?
Ja, hvis kravet ikke er relevant eller muligt. Fravalget skal stå på skrift med en forståelig begrundelse, som auditten prøver.
→ Begrundelserne i artikel 2, stk. 2
Hvem må lave den uafhængige gennemgang efter punkt 2.3?
Folk med auditkompetence. Det kan være egne ansatte, når de står uden for ledelseslinjen i det område, de gennemgår.
→ Uafhængig gennemgang efter punkt 2.3
Kan Digitaliseringsstyrelsens vejledningsskema bruges som auditprogram?
Ja, som skelet. Skemaets egne svar er dog selvangivne og skal efterprøves.
→ Vejledningsskemaet som auditprogram
Hvad kræver forordningen om backup og gendannelse?
En forretningskonsekvensanalyse som fundament, genopretningstider i planerne, kopier adskilt fra produktionsnettet og jævnlige gendannelsestest med skrevne resultater.
Må en digital enhed lade være med at installere en patch?
Ja, hvis den gør mere skade end gavn for sikkerheden. Beslutningen skal begrundes skriftligt.
Hvad skal en digital enhed logge?
Tolv typer begivenheder, hvor det er relevant. Opbevaringstiden fastsættes på forhånd, og urene synkroniseres så vidt muligt.
Tilsyn og håndhævelse
Hvad er forskellen på en audit og et tilsyn?
Materialet er ofte det samme. Igangsætteren, jeres pligter undervejs og følgerne bagefter er forskellige.
Skal vi sende vores frivillige auditrapport til tilsynet?
Frivillige rapporter er ikke undtaget. Om netop jeres skal med, afhænger af anmodningens formål og ordlyd.
→ Skal auditrapporten med til tilsynet?
Kan myndigheden kræve en sikkerhedsaudit?
Ja, ved et kvalificeret uafhængigt organ og med resultatet til myndigheden. Regningen går som udgangspunkt til virksomheden.
Hvad sker der, før myndigheden giver et påbud?
I får besked om det påtænkte og begrundelsen og en rimelig frist til at svare. Her kan I dokumentere det, der allerede er rettet.
Mindsker en audit en bøde?
Det kan ingen love. Auditten er ikke blandt de otte hensyn, lovbemærkningerne nævner.
Kan myndigheden komme på besøg uden retskendelse?
Hos væsentlige enheder, ja. Hos vigtige enheder kun ved tegn på, at loven ikke overholdes.
Kan myndigheden offentliggøre vores hændelse?
Ja, efter høring af jer. Den kan også pålægge jer selv at informere og bestemme formen.
→ Offentliggørelse af hændelse
Hvad er de mest indgribende sanktioner?
En tilsynsperson, pligt til at offentliggøre afgørelsen og i sidste ende et midlertidigt forbud mod, at en direktør leder. Forbuddet ophører, når manglerne er rettet.
→ Tilsynsperson og ledelsesforbud
Kan myndighederne scanne vores systemer?
To veje findes. CSIRT’en scanner, hvis I beder om det, og tilsynet kan scanne som en del af sit tilsyn.
Sektorer og særlige anledninger
Er fremstillingsvirksomheder omfattet af NIS 2?
Branchekode 26 til 30 er med i bilag 2, hvis størrelsen passer, og kravene omfatter også produktionens styresystemer.
Er en kemikaliedistributør uden produktion omfattet?
Det kan den være. Distribution er nævnt i bilag 2, og størrelsen afgør resten.
Hvilke værktøjer har Fødevarestyrelsen til NIS 2?
Et værktøj til selvevaluering og et til risikovurdering, begge brugbare som forberedelse til en audit.
Hvem fører tilsyn med NIS 2 i transport?
Trafikstyrelsen. Den har afgrænset kredsen af omfattede og udgivet en kort tjekliste.
Hvad gælder for et forbrugerejet vandværk?
Miljøstyrelsen mener, at større forsyninger bør være omfattet, og mindre også, når de leverer til særlige samfundsvigtige modtagere. Omfattede vandværker er væsentlige enheder.
Hvor begynder auditten efter en væsentlig hændelse?
Ved slutrapporten til myndigheden og den årsag, den peger på.
→ Audit efter væsentlig hændelse
Hvad gør vi, hvis auditten finder en hændelse, ingen har underrettet om?
Vurder den straks, for fristerne regnes fra kendskabet. Underretningen er virksomhedens opgave.
Kommer der en NIS2-certificering?
Det er foreslået af Kommissionen, men ikke vedtaget pr. 12. november 2026. Auditten bruger de regler, der gælder nu.
Om sitet
Kan Nielco IT udstede et certifikat eller en revisorerklæring?
Nej. Nielco IT laver sikkerhedsaudit, NIS2-audit og IT-sikkerhedstjek og leverer rapporter. Certifikater og erklæringer kommer fra andre.
Anbefaler sitet bestemte leverandører eller rammeværk?
Nej. Rammer og ordninger står side om side uden rækkefølge, og selskaber nævnes ikke ved navn.
Senest gennemgået: november 2026.
Næste skridt
Find det spørgsmål, der ligner jeres situation mest, og læs artiklen bag svaret.
Læs også: Ordliste · Rådgivning
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
Skal jeres sikkerhed gennemgås?
Skriv kort, hvad der skal auditeres, og hvad der sætter det i gang. Så vender jeg tilbage. Auditten er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.
