En foranstaltning uden ejer er en foranstaltning, som ingen har ansvaret for at vurdere, vedligeholde eller melde status på. I en NIS2-audit viser det sig som en kæde af mangler: risikoen er ikke accepteret af nogen, rapporteringen til ledelsesorganet udebliver, og ledelsesorganet kan derfor ikke føre det tilsyn, § 7 kræver.
Arbejdet kan sagtens blive gjort. Det, der mangler, er en person, der kan svare for det.
Hvad en risikoejer er
Risikoejeren bærer ansvaret for en given risiko og afgør, om håndteringen er tilstrækkelig. Det er ikke nødvendigvis den, der udfører arbejdet. I mange virksomheder er det en leder for det forretningsområde, risikoen rammer.
Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger giver risikoejeren en fast rolle. Afsnit 1.b kræver, at risikoejeren godkender tre ting: hvad risikovurderingen viste, hvordan risikoen skal håndteres, og hvor meget risiko der er tilbage. Accepten handler primært om samfundsrisici, og ledelsesorganet skal have en passende rapportering om den. Afsnit 6.b gentager kravet om restrisiko.
Vejledningen anbefaler også, at politikken for risikostyring identificerer risikoejerne og dokumenterer deres ansvar. Den kan desuden navngive den, der har ansvaret for, at de valgte foranstaltninger bliver gennemført i tide.
Hvordan tilsynet spørger
Myndigheden stillede i maj 2026 kommunerne to spørgsmål, der rammer emnet præcist. Det første spørger, om der er udpeget risikoejere, som står inde for vurderingen, håndteringen og den risiko, der er tilbage. Det andet spørger, om ledelsesorganet bliver orienteret om resultatet og om ejerens accept.
Skemaet er skrevet til kommuner, og private virksomheder får det ikke tilsendt. Spørgsmålene viser alligevel, hvordan en myndighed læser kravet. Det gælder også for en privat virksomhed under tilsyn. Se tilsynets spørgeskema som selvprøve.
Sådan viser fundet sig i auditten
Auditor finder sjældent ejerløsheden direkte. Den viser sig som følger af noget andet. En risikovurdering er udarbejdet, men ingen har underskrevet accepten af restrisikoen. En foranstaltning er indført, men ingen har vurderet, om den virker. Ledelsesorganet har godkendt politikken, men har ikke siden fået en status.
Standarderne for intern revision beskriver, at et fund dokumenteres med en grundårsag, når den kan findes. Uklart ejerskab er en mulig grundårsag til flere fund på én gang, og det bør rapporten sige, når den kan vise det. Et fund om ejerskab løser nemlig flere af de andre fund, mens en rettelse af hvert enkelt fund lader årsagen stå.
Hvordan fund klassificeres og skrives, står i klassificering af fund.
Ejerskab i effektivitetsvurderingen
Kravet i § 6, stk. 1, nr. 6, om at vurdere, om foranstaltningerne virker, forudsætter også ejere. Vejledningen anbefaler, at procedurerne for effektivitetsvurdering angiver, hvem der skal udføre vurderingerne. Uden et navn bliver vurderingen ikke gennemført, eller den gennemføres af den, der selv har bygget foranstaltningen. Kravet er uddybet i effektivitetsvurdering.
Fra ejer til ledelsesorgan
Ejerskabet er bindeleddet til ledelsesorganet. § 7, stk. 1, siger, at ledelsesorganet godkender foranstaltningerne og fører tilsyn med gennemførelsen. Ifølge vejledningen om ledelsens rolle skal tilsynet også se på, om foranstaltningerne virker efter hensigten. Det kan ledelsesorganet kun, hvis nogen rapporterer til det.
En simpel model er en oversigt over risici og foranstaltninger med en ejer pr. linje, en dato for seneste accept og en status. Oversigten forelægges ledelsesorganet med faste mellemrum. Referatet af behandlingen er beviset for tilsynet. Referatets indhold er gennemgået i godkendelsessporet.
Den virksomhed, der vil følge, hvordan ansvaret modnes over år, finder mere under modenhed og ledelsesrapportering.
Når driften ligger hos en leverandør
Er driften lagt ud til en IT-leverandør, kan det se ud, som om leverandøren ejer foranstaltningerne. Vejledningen siger, at kravene gælder, uanset om enheden selv driver systemerne eller outsourcer driften. Leverandøren kan udføre arbejdet. Det er en tolkning, men det er svært at se, hvordan ledelsesorganet kan føre tilsyn, hvis risikoejeren sidder hos leverandøren. I auditten vil auditor derfor spørge efter den person hos jer, der følger op på leverandørens arbejde og står inde for den risiko, der er tilbage.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver risiko og hver foranstaltning får en navngiven ejer på et passende ledelsesniveau, og at ejeren skriftligt accepterer restrisikoen. Det kræver også en fast rytme for rapporteringen til ledelsesorganet. Det tager tid at indføre, men lidt tid at holde ved lige.
Uden ejere kan restrisikoen ikke vises som accepteret, og ledelsesorganet kan ikke dokumentere sit tilsyn. Det er to krav på én gang, og over for tilsynet er det svært at forklare, hvem der havde ansvaret.
Det skal I lade være med
- At gøre IT-chefen til ejer af alle risici · ejeren bør sidde der, hvor risikoen rammer forretningen.
- At acceptere restrisiko mundtligt · accepten skal kunne vises.
- At sende status til ledelsesorganet uden ejernes navne · så kan ledelsesorganet ikke følge op.
Det skal auditten kunne vise
- ☐ En navngiven risikoejer for hver væsentlig risiko.
- ☐ Skriftlig accept af den tilbageværende risiko med dato.
- ☐ En ansvarlig for hver effektivitetsvurdering.
- ☐ Rapportering til ledelsesorganet, der nævner ejernes accept.
- ☐ Referater, der viser ledelsesorganets behandling.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.b, 6.a og 6.b, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, 19. maj 2026, spørgsmål 1.B.6 og 1.B.7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 4, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres risikoregister, og skriv et navn og en dato for seneste accept ud for hver linje.
Læs også: Audit af risikovurderingen · Sådan læser bestyrelsen en NIS2-auditrapport
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
