Gennemførelsesforordning (EU) 2024/2690 gælder kun for en snæver gruppe digitale udbydere. Er I ikke blandt dem, kan I bruge dens punkter som en mere præcis målestok i jeres audit, så længe rapporten skriver tydeligt, at de er valgt som inspiration og ikke kan kræves af jer.
Det giver mening, fordi forordningen er mere konkret end NIS 2-loven og vejledningen. Den sætter intervaller og navngiver dokumenter, hvor den danske vejledning nøjes med at sige “med planlagte mellemrum”.
Hvem forordningen gælder for
Forordningen er en gennemførelsesforordning fra Kommissionen af 17. oktober 2024, offentliggjort i EU-Tidende den 18. oktober 2024. Den gælder umiddelbart i alle medlemslande.
Artikel 1 afgrænser den til DNS-tjenesteudbydere, topdomænenavneadministratorer, udbydere af cloudcomputingtjenester, datacentertjenester og indholdsleveringsnetværk, udbydere af administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner, platforme for sociale netværkstjenester og tillidstjenesteudbydere. Andre enheder er ikke omfattet.
For de omfattede stiller forordningen ifølge Styrelsen for Samfundssikkerheds vejledning højere krav end lovens § 6. Er I i tvivl om, om jeres IT-afdeling eller jeres driftsselskab hører til, så læs koncern-IT eller udbyder af administrerede tjenester?. Forordningens egne krav til de digitale enheder er gennemgået i MSP, cloud, hosting og datacenter.
Derfor kan andre bruge den
Betragtning 6 i forordningen siger, at bilagets krav bygger på europæiske og internationale standarder som ISO/IEC 27001, ISO/IEC 27002 og ETSI EN 319401 og tekniske specifikationer som CEN/TS 18026:2024. Det gør punkterne genkendelige for en virksomhed, der allerede arbejder med en af standarderne.
ENISA skriver i sin tekniske vejledning til forordningen, at den kan give indikationer, som andre offentlige og private organer kan finde nyttige til at forbedre deres cybersikkerhed. Det er grundlaget for at låne punkterne som inspiration, og det rækker heller ikke længere.
Hvad forordningen gør mere præcist
Tre forskelle er nyttige i en audit hos en almindelig enhed.
Den første er faste intervaller. Bilaget kræver, at ledelsesorganerne gennemgår politikken for sikkerhed i net- og informationssystemer mindst én gang om året (punkt 1.1), og punkt 2.1.4 stiller samme årlige minimum for risikovurderingen og planen for at behandle risiciene. Den danske vejledning siger, at informationssikkerhedspolitikken bør ajourføres årligt, men nøjes for de fleste andre punkter med planlagte mellemrum.
Den anden er uafhængig gennemgang. Bilagets punkt 2.3 kræver uafhængige gennemgange med planlagte mellemrum og ved væsentlige hændelser eller ændringer. Punktet beskriver også, hvem der må udføre dem. Det er brugt som målestok i intern eller ekstern NIS2-audit.
Den tredje er pligten til at begrunde. Artikel 2, stk. 2 siger, at hvor bilaget bruger udtryk som “hvor det er relevant” eller “i det omfang, det er muligt”, og enheden ikke finder det relevant eller muligt, skal den dokumentere sin begrundelse på en forståelig måde. Det svarer til vejledningens krav om at kunne forklare et fravalgt bør, men det er skarpere formuleret.
Sådan skrives det ind i opdraget
Hvis I vælger forordningen som supplerende målestok, bør opdraget sige tre ting. Hvilke punkter der lånes. At de er valgt af enheden selv. Og at afvigelser fra dem bliver rapporteret som observationer eller anbefalinger og ikke som brud på et krav.
Det holder kriterierne rene. Lovens § 6 og vejledningens skal er stadig det, der afgør, om der er et fund. Forordningens punkter giver svar på spørgsmålet om, hvor langt jeres praksis ligger fra en mere præcis norm. Hvordan kriterierne i øvrigt vælges, står i auditkriterier.
En virksomhed kan have gode grunde til at gå tættere på forordningen. Leverer I til kunder, der selv er digitale enheder, kan de spørge efter de samme punkter. Planlægger I at blive udbyder af administrerede tjenester, er det klogt at kende kravene, før de gælder.
Hvad det kræver, og hvad det koster at lade være
At bruge forordningen som målestok kræver, at nogen læser bilaget og vælger de punkter, der passer til jeres risiko. Det tager kort tid for den, der kender NIS 2-vejledningen, fordi strukturen ligner. Arbejdet ligger i at skrive afgrænsningen ind i opdraget.
Lader I den ligge, mister I en færdig målestok for intervaller og uafhængighed, som vejledningen ikke selv giver. Bruger I den uden at afgrænse, risikerer I det omvendte: en rapport, der behandler forordningens punkter som krav, og en ledelse, der tror, den har brudt regler, der ikke gælder for den.
Det skal I lade være med
- At skrive forordningens punkter som krav · de gælder kun for de digitale enheder i artikel 1.
- At låne hele bilaget uden at vælge · tag de punkter, der passer til jeres risiko.
- At glemme at skrive valget ind i opdraget · ellers kan fund og observationer ikke skelnes.
Det skal auditten kunne vise
- ☐ At enheden ikke er omfattet af forordningens artikel 1, med begrundelse.
- ☐ Hvilke af bilagets punkter der er valgt som supplerende målestok.
- ☐ Afvigelser fra de valgte punkter rapporteret som observationer.
- ☐ Intervallerne for gennemgang af politik og risikovurdering holdt op mod forordningens årlige norm.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, læst 12. november 2026.
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs bilagets punkt 1 og 2, og vælg de underpunkter, I vil måles på ud over vejledningen.
Læs også: Skal, bør og kan · Hvor ofte skal en NIS2-audit gentages?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
