En handlingsplan gør auditfundene til opgaver med en ejer, en dato og de ressourcer, der skal til. Hos en NIS2-omfattet enhed er planen desuden det sted, hvor pligten til at rette mangler i lovkrav uden unødigt ophold bliver synlig, og den skal godkendes af ledelsesorganet.
En plan, ledelsen kan følge, er kort og konkret. Den skelner mellem det, loven kræver rettet, og det, virksomheden selv vælger at forbedre.
Lovens to krav til planen
Lever en enhed ikke op til minimumskravene i § 6, stk. 1, skal den efter stk. 2 rette op med de korrigerende foranstaltninger, der er nødvendige, og gøre det uden unødigt ophold. Ifølge bemærkningerne til loven betyder det, at konstaterede mangler kræver handling, og at bestemmelsen hænger sammen med § 7 om ledelsens ansvar.
Loven definerer ikke, hvad “uden unødigt ophold” betyder i dage eller måneder. Det kan ikke læses som en fast frist. Det kan dog læses som et krav om, at en kendt mangel ikke må ligge stille. Den læsning er en tolkning.
§ 7, stk. 1, omfatter foranstaltningerne efter § 6, stk. 1 og 2. De korrigerende foranstaltninger skal altså også godkendes af ledelsesorganet, og ledelsesorganet fører tilsyn med, at de bliver gennemført.
Sortér fundene først
Ikke alle fund har samme vægt. Del dem i tre grupper, før planen skrives.
Mangler i krav. Fund mod et “skal” i Styrelsen for Samfundssikkerheds vejledning eller mod et af minimumskravene i § 6, stk. 1. De er omfattet af pligten i § 6, stk. 2.
Fravalgte anbefalinger uden begrundelse. Fund mod et “bør”, hvor fravalget ikke er dokumenteret. Her kan handlingen være at følge anbefalingen eller at skrive en begrundet vurdering. Begge dele kan være lovlige, hvis vurderingen holder.
Forbedringer. Fund mod et “kan” eller observationer, der ikke er mangler. De kan lægges i planen efter virksomhedens egne prioriteter.
Skalaen bag sorteringen er beskrevet i klassificering af fund.
Hvad hver linje i planen skal indeholde
NIST beskriver en handlingsplan med milepæle som det naturlige næste skridt efter rapporten. Standarderne for intern revision lægger op til, at hver handling har en ansvarlig person og en planlagt dato. Omsat til en NIS2-plan giver det disse felter:
- Fundets nummer og den foranstaltning i § 6, det vedrører.
- Hvad der skal gøres, beskrevet så det kan efterprøves.
- En ejer på et niveau, der kan træffe beslutningen.
- Milepæle og en slutdato.
- De ressourcer, der skal til, i tid, folk eller indkøb.
- Hvordan lukningen skal dokumenteres.
Udfyldt ser en linje sådan ud. Den er et tænkt eksempel.
- (F-07: gendannelse er ikke testet) · § 6, stk. 1: (nr. 3) · Gruppe: (Mangel i krav) · Handling: (Gendannelsestest af økonomisystemet, procedure skrives) · Ejer: (IT-chef) · Milepæle og slutdato: (Procedure 1. marts, test 1. april) · Ressourcer: (To dages intern tid) · Lukkebevis: (Testrapport underskrevet af systemejer) · Status: (I gang)
Det sidste felt gør opfølgningen lettere. Når det står fra start, hvad lukkebeviset er, kan ingen diskutere det bagefter. Se opfølgningsaudit og lukkebevis.
Drøft planen, før den godkendes
Anbefalinger i en rapport er auditors. Planen er ledelsens. Standarderne for intern revision beskriver, at anbefalingerne drøftes med ledelsen, og at gennemførlighed og omkostning vurderes i forhold til gevinsten. Ansvaret for at gennemføre handlingerne ligger hos ledelsen.
Det betyder, at planen kan vælge en anden løsning end den, auditor anbefalede, så længe den løser fundet. For mangler i krav kan valget af løsning drøftes. At rette manglen er derimod ikke til forhandling.
Myndighedens vejledning lægger op til, at effektivitetsprocedurerne rummer en metode til at håndtere en foranstaltning, der ikke virker, og som sikrer, at der følges op. Handlingsplanen er den metode i praksis.
Følg planen
En plan uden opfølgning er et dokument. Sæt status på hvert ledelsesmøde, eller med faste mellemrum, og lad ejeren rapportere. Er en dato overskredet, skal årsagen frem. Sker det gentagne gange, bliver det et spørgsmål for ledelsesorganet, som beskrevet i handlingsplanen er gået i stå.
Rettelser, der berører en leverandørs ydelse, skal ofte løses i aftalen med leverandøren. Det behandles under krav til leverandøren. Rettelser af tekniske opsætninger beskrives i dybden under tekniske kontrolpunkter.
Hold planen kort nok til, at ledelsesorganet kan læse den. Én linje pr. fund og et resumé øverst med antallet af mangler i krav, antallet af fravalgte anbefalinger og hvor mange handlinger der er sat i gang, giver overblikket. Detaljerne kan ligge i et bilag hos ejerne.
Hvad det kræver, og hvad det koster at lade være
Det kræver en person, der skriver planen, ejere, der accepterer deres opgaver, og et ledelsesmøde, hvor planen godkendes. Ressourcerne skal afsættes, ellers er datoerne ikke realistiske.
Uden en plan bliver fundene liggende i rapporten. For mangler i krav er det svært at forene med pligten i § 6, stk. 2, og ved næste audit står samme fund igen.
Det skal I lade være med
- At sætte alle fund i samme kø · mangler i krav skal frem først.
- At skrive datoer, ingen har afsat ressourcer til · planen bliver urealistisk fra start.
- At lade planen gå uden om ledelsesorganet · de korrigerende foranstaltninger skal godkendes.
Det skal auditten kunne vise
- ☐ En plan, hvor hver linje henviser til et fund og en foranstaltning i § 6.
- ☐ Ejer, milepæle, slutdato og ressourcer for hver handling.
- ☐ Mangler i krav prioriteret først.
- ☐ Ledelsesorganets godkendelse af planen.
- ☐ Status på planen ved hver opfølgning.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 6, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6.a, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 14.4 og 15.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sortér rapportens fund i de tre grupper, og sæt en foreløbig ejer på hver mangel i krav.
Læs også: Auditten viser store huller · Fra auditrapport til budget
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
