En auditrapport giver ledelsen en liste over anbefalinger. Budgettet kræver en beslutning om, hvad der finansieres i år, hvad der lægges i planen for de kommende år, og hvad der fravælges med en begrundelse. I en mellemstor virksomhed uden koncernapparat kan den beslutning træffes på et enkelt møde, hvis anbefalingerne er sorteret efter risiko, og hvis det er klart, hvilke der er lovkrav.
Artiklen indeholder ingen beløb eller budgetandele. Den handler om metoden.
Start med det, der ikke kan vente
For virksomheder omfattet af NIS 2-loven er det første skridt at finde de fund, der er mangler i lovkrav. § 6, stk. 2, kræver, at de rettes uden unødigt ophold. De kan ikke udskydes med henvisning til budgettet. De skal finansieres, og spørgsmålet er kun hvordan.
Det samme gælder krav, virksomheden har forpligtet sig til over for kunder eller andre. Dem kender kun I selv. Begge grupper står øverst på listen, før prioriteringen af resten begynder. Hvordan fundene sorteres, står i fra fund til handlingsplan.
Prioritér resten efter risiko
Resten af anbefalingerne prioriteres. Standarderne for intern revision beskriver, at fund prioriteres efter sandsynlighed og konsekvens, og at anbefalinger vurderes sammen med ledelsen for gennemførlighed og omkostning i forhold til gevinst. Det er ledelsens ansvar at gennemføre handlingerne.
For NIS2-omfattede har Styrelsen for Samfundssikkerheds vejledning et tilsvarende hensyn. Fravælger enheden en anbefaling, skal den kunne forklare det ud fra teknologisk stade, gennemførelsesomkostninger og egne risici. I forordning 2024/2690, der gælder de digitale enheder, indgår omkostningen i forhold til den forventede fordel i valget af risikobehandling.
Omkostning er altså et legitimt hensyn for anbefalinger. Det er ikke et hensyn, der kan fjerne et minimumskrav. Grænsen er beskrevet i risikoaccept og § 6, stk. 2.
Tre spørgsmål pr. anbefaling
For hver anbefaling, der ikke er lovkrav, kan ledelsen stille tre spørgsmål.
Hvad sker der, hvis vi venter et år? Svaret siger noget om sandsynlighed og konsekvens. En anbefaling om at begrænse fjernadgang har en anden hast end en anbefaling om at forbedre dokumentationen af en sjældent brugt proces.
Hvad kræver den? Penge, og desuden tid fra egne folk, en leverandørs arbejde og afbrydelser i driften. Mange anbefalinger koster mest i tid.
Kan den kombineres med noget, der alligevel skal ske? En udskiftning af et system, en fornyelse af en aftale eller en omlægning af driften kan bære en anbefaling med sig uden ekstra projekt.
Svarene giver tre grupper: finansieres i år, lægges i planen med et år, eller fravælges med begrundelse. Fravalget skal skrives ned. For NIS2-omfattede er en dokumenteret stillingtagen netop det, vejledningen forventer ved et fravalgt “bør”.
Fra liste til budgetpost
Når grupperne er på plads, kan de omsættes til budget. Beskriv hver post med det fund, den løser, den forventede virkning på risikoen, ejeren og hvornår den skal være færdig. Så kan bestyrelsen se, hvad den betaler for.
Planen for de kommende år er en del af beslutningen. Den viser, at fravalget i år ikke er glemt, og at fundene får en tid. Hvordan planen følges, står i opfølgningsaudit og lukkebevis.
Skal næste audit eller en opfølgning med i budgettet, gælder det samme om at kende omfanget først. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
En koncern med flere selskaber og en central investeringsproces har andre greb. De er beskrevet under investeringer i koncernens sikkerhed.
Når budgettet ikke rækker
Rækker budgettet ikke til alt, der er besluttet i år, er der tre muligheder. Omfanget af en handling kan gøres mindre, så den dækker de mest kritiske systemer først. Den kan deles i trin, hvor første trin mindsker risikoen hurtigt. Eller en anden anbefaling kan flyttes til næste år. For mangler i lovkrav er det ikke en mulighed at flytte dem. En trinvis løsning kan efter en tolkning af kravet om at handle uden unødigt ophold være forsvarlig, hvis første trin kommer hurtigt. Hver ændring bør stå i planen og godkendes af ledelsesorganet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at rapportens fund er sorteret i lovkrav og anbefalinger, at hver anbefaling er vurderet efter risiko og omkostning, og at ledelsen afsætter et møde til beslutningen. Det tager kort tid, hvis rapporten er god.
Uden en metode bliver budgettet sat efter, hvad der var sidste år, eller efter den anbefaling, der lyder dyrest. Lovkrav kan blive udskudt, og fravalg bliver ikke dokumenteret. Begge dele er svære at forsvare bagefter.
Det skal I lade være med
- At udskyde lovkrav med henvisning til budgettet · § 6, stk. 2, har ingen sådan undtagelse.
- At fravælge en anbefaling uden at skrive hvorfor · fravalget er en beslutning, der skal kunne vises.
- At prioritere efter pris alene · risikoen skal med i vurderingen.
Det skal auditten kunne vise
- ☐ Fundene delt i lovkrav og anbefalinger.
- ☐ En vurdering af risiko og omkostning for hver anbefaling.
- ☐ En beslutning for hver: i år, i planen eller fravalgt med begrundelse.
- ☐ Budgetposter knyttet til fund, ejere og datoer.
- ☐ Ledelsesorganets godkendelse.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 2.1.3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 14.3 og 14.4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag rapportens anbefalinger, og sæt hver i én af de tre grupper før næste budgetmøde.
Læs også: Auditten viser store huller · Sådan læser bestyrelsen en NIS2-auditrapport
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
