En NIS2-audit forløber typisk i seks faser: forberedelse, plan og opstartsmøde, gennemførelse, foreløbig rapport, endelig rapport og handlingsplan. Hver fase kræver noget af jeres egne folk, og det er især IT, ledelsen og de leverandører, der har en del af driften, der skal afsætte tid.
Faserne bygger på anerkendt praksis fra NIST og standarderne for intern revision. NIS 2-loven siger intet om, hvordan en audit gennemføres. Det, der gør auditten til en NIS2-audit, er kriterierne og modtageren. Kriterierne er § 6 og myndighedens vejledning, og modtageren er ledelsesorganet, som efter § 7 står for godkendelse og tilsyn. Hvor lang tid hver fase tager, afhænger af omfanget, og det skriver vi ikke tal på.
1. Forberedelse
Før auditor kommer, aftales opdrag og omfang. For en NIS2-audit betyder det at slå fast, hvilke selskaber auditten dækker, om forordningen er en del af grundlaget, og hvilke foranstaltninger i § 6, stk. 1, der undersøges. Afgrænsningen har sin egen artikel om afgrænsning af NIS2-auditten.
Samtidig samles materialet. Det går hurtigst, når det ligger i en bevismappe ordnet efter de ti foranstaltninger.
Hvem bidrager. Den sikkerhedsansvarlige samler materialet. Ledelsen godkender opdraget. Den, der står for aftalen med auditor, får auditaftalen på plads.
2. Plan og opstartsmøde
Ifølge IIA’s standarder bør ledelsen fra begyndelsen kende mål, omfang og tidsplan. Ved opstartsmødet gennemgår auditor planen: hvilke områder der undersøges hvornår, hvem der interviewes, og hvilke udtræk og stikprøver der bliver bedt om.
Hvem bidrager. En repræsentant for ledelsen, den sikkerhedsansvarlige og en kontaktperson i IT. Ligger driften hos en leverandør, bør den med fordel være orienteret, så den ved, hvad der kommer.
3. Gennemførelse
Auditor gennemgår dokumenter, interviewer medarbejdere og efterprøver udvalgte kontroller. Det svarer til NIST’s tre metoder. For hver foranstaltning sammenlignes den faktiske tilstand med lovens krav og vejledningens skal og bør.
Her bruges mest tid hos jer. IT leverer udtræk og viser opsætninger. Procesejere og HR svarer på spørgsmål om fx fratrædelser. Ledelsen interviewes om godkendelse, tilsyn og risikoaccept. Leverandører leverer dokumentation for den del af driften, de har. Hvordan interviews forberedes, står i interviews i auditten.
Bed gerne auditor om en kort status undervejs, fx når et område er gennemgået. Så kommer et alvorligt fund ikke først frem i rapporten, og en mangel, der kan rettes med det samme, kan komme i gang.
Hvem bidrager. IT mest, dernæst den sikkerhedsansvarlige, procesejerne, ledelsen og leverandørerne.
4. Foreløbig rapport
NIST beskriver, at den, der ejer systemet, først får en foreløbig rapport. Formålet er at rette misforståelser og fortolkninger, før rapporten bliver endelig, og at give mulighed for at rette svagheder, der hurtigt kan rettes. Ændres en kontrol i den periode, vurderes den igen.
Fasen er jeres mulighed for at korrigere fejl i fakta og misforståelser. Er I uenige, står fremgangsmåden i uenig i et fund.
Hvem bidrager. Den sikkerhedsansvarlige og IT læser og kommenterer. Ledelsen orienteres om hovedfundene.
5. Endelig rapport
Rapporten går til modtageren i opdraget. For en NIS2-audit er det naturligt, at den går til ledelsesorganet, fordi det efter § 7 fører tilsyn med foranstaltningerne. Ifølge ledelsesvejledningen kan en ekstern gennemgang, hvis resultater går til ledelsen, indgå i tilsynet.
Rapporten er ikke en godkendelse. Vurderingen af, om loven er opfyldt, ligger hos sektorens ansvarlige myndighed. Hvad rapporten bør indeholde, står i NIS2-auditrapporten.
Hvem bidrager. Ledelsesorganet modtager og drøfter rapporten. Auditor gennemgår den gerne mundtligt.
6. Handlingsplan
Efter rapporten vurderer virksomheden risikoen ved fundene og beslutter, hvad der skal ske. NIST beskriver det som en handlingsplan med milepæle. For NIS2-omfattede er der en regel bag. § 6, stk. 2, pålægger enheden at rette manglende overholdelse uden unødigt ophold. Loven fastsætter ingen frist i dage. Planen er beskrevet i fra fund til handlingsplan.
Hvem bidrager. Ledelsen beslutter og prioriterer. Ejerne af de enkelte fund planlægger rettelserne. IT og leverandører udfører dem.
Forløbet på én side
Skemaet samler faserne til en plan, I kan lægge ind i jeres egen kalender. Varigheden sætter I selv ud fra omfanget. Kolonnen “Klar før næste fase” er det, der oftest forsinker.
- 1. Forberedelse · Jeres folk: Sikkerhedsansvarlig, ledelse · Det, I leverer: Opdrag, afgrænsning, bevismappe · Klar før næste fase: Underskrevet auditaftale
- 2. Plan og opstartsmøde · Jeres folk: Ledelse, sikkerhedsansvarlig, IT-kontakt · Det, I leverer: Navne til interviews, kalender · Klar før næste fase: Aftalte datoer for interviews og udtræk
- 3. Gennemførelse · Jeres folk: IT, procesejere, HR, ledelse, leverandører · Det, I leverer: Udtræk, opsætninger, svar · Klar før næste fase: Alt efterspurgt materiale afleveret
- 4. Foreløbig rapport · Jeres folk: Sikkerhedsansvarlig, IT · Det, I leverer: Rettelser af fakta, kommentarer · Klar før næste fase: Svar inden for den aftalte høringsfrist
- 5. Endelig rapport · Jeres folk: Ledelsesorgan · Det, I leverer: Mødetid til gennemgang · Klar før næste fase: Rapporten drøftet og noteret i referat
- 6. Handlingsplan · Jeres folk: Ledelse, ejere af fund · Det, I leverer: Plan med ejere og datoer · Klar før næste fase: Planen godkendt af ledelsesorganet
Hvad det kræver, og hvad det koster at lade være
Det, auditten kræver af jeres egne folk, afhænger af omfanget, og af hvor ordnet materialet er. Den største post ligger i gennemførelsen hos IT og den sikkerhedsansvarlige. Ledelsen bruger mindre tid, men skal være til stede ved opstart, interview og modtagelse af rapporten.
Planlægges forløbet ikke, falder interviews og udtræk sammen med driftens travle perioder. Så trækker auditten ud, og rapporten kommer senere, end ledelsen og en eventuel modenhedsmåling over tid har regnet med.
Det skal I lade være med
- At gå i gang uden afgrænsning · CVR-numre, forordningen og foranstaltningerne skal ligge fast først.
- At springe den foreløbige rapport over · fejl i fakta er lettest at rette dér.
- At lade rapporten ende hos IT · modtageren er ledelsesorganet.
Det skal auditten kunne vise
- ☐ En plan med områder, metoder, interviews og datoer, meddelt ledelsen.
- ☐ En foreløbig rapport og jeres kommentarer til den.
- ☐ Den endelige rapport, modtaget af ledelsesorganet.
- ☐ En handlingsplan med ejere og milepæle.
Kilder
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 2 og 3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 13.1, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 4, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Forløbet i en sikkerhedsaudit · Hvad påvirker prisen på en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
