Står samme mangel i et NIS2-krav i to auditrapporter i træk, er det svært at forene med kravet i § 6, stk. 2, om at rette uden unødigt ophold. Manglen er kendt, den er dokumenteret, og den er ikke rettet. Det er en tolkning af lovens ordlyd, men den har en direkte følge: ledelsesorganet bør behandle sagen som et spørgsmål om lovefterlevelse.
Artiklen handler om vægten af den gentagne mangel. Årsagerne til, at planer går i stå, og ledelsens greb for at få dem i gang igen, behandles under styring og modenhed over tid.
Hvad loven siger om kendte mangler
Pligten i § 6, stk. 2, er at handle på mangler i minimumskravene uden unødigt ophold. Bemærkningerne til loven siger, at enheder vil skulle handle på konstaterede mangler. Loven sætter ingen frist i dage eller måneder.
En auditrapport er netop en konstatering af mangler. Når samme mangel står i næste rapport, er der gået en periode, hvor den var kendt. Om det er “unødigt”, afhænger af, hvad der er sket i mellemtiden. Er der en plan med fremdrift og en god grund til forsinkelsen, står virksomheden et andet sted, end hvis intet er sket.
Der er ikke fundet noget i loven eller vejledningerne om, at en gentaget mangel vejer tungere over for tilsynet. Det er heller ikke beskrevet, hvordan tilsynet i praksis vil se på det. Det, der kan siges, er, at en mangel, der er kendt og ikke rettet, er svær at forene med ordlyden af § 6, stk. 2.
Hvad tilsynet kan gøre
Bøde for brud på § 6, stk. 1 eller 2, har hjemmel i lovens § 32. Over for væsentlige enheder har myndigheden efter § 22 en række værktøjer. Myndigheden kan give advarsler, bindende instrukser med frister og påbud, og den kan pålægge enheden at føre anbefalingerne fra en sikkerhedsaudit ud i livet.
Virker det ikke, kan myndigheden efter § 23 fastsætte en frist og derefter midlertidigt forbyde personer med ledelsesansvar at udøve ledelsesfunktioner. Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle beskriver det som en sidste udvej.
Det er værd at bemærke formuleringen i § 22 om anbefalinger fra en sikkerhedsaudit. Den viser, at lovgiver har forudset, at auditanbefalinger kan blive genstand for påbud. Tilsynets værktøjer er gennemgået i tilsynsperson og ledelsesforbud.
Hvad auditor gør med en gentaget mangel
Standarderne for intern revision beskriver, hvad en revisor gør, når der ikke er fremdrift på et fund. Revisor indhenter en forklaring og dokumenterer den. Revisor overvejer også, om ledelsens tøven i praksis betyder, at den bærer mere risiko, end den har sagt ja til.
I rapporten bør en gentaget mangel derfor stå tydeligt som gentaget, med datoen for første konstatering, den forklaring, auditor har fået, og en vurdering af, om fremdriften har været rimelig. Det giver ledelsesorganet et grundlag for at handle.
Hvad ledelsesorganet bør gøre nu
Ledelsesorganet godkender efter § 7 de korrigerende foranstaltninger og fører tilsyn med dem. En gentaget mangel er et tegn på, at tilsynet ikke har virket for netop den mangel. Det bør føre til tre beslutninger.
Først en ny, realistisk plan med en ejer, der har mandat, og de ressourcer, der skal til. Se fra fund til handlingsplan.
Dernæst en tættere opfølgning, fx status på hvert møde, indtil manglen er lukket. Lukkebeviset skal leve op til samme krav som i auditten, som beskrevet i opfølgningsaudit og lukkebevis.
Endelig en stillingtagen til, om der er en midlertidig foranstaltning, der kan mindske risikoen, mens den varige løsning kommer på plads. Hvor grænsen for at acceptere risiko ligger, står i risikoaccept efter NIS2.
Ligger manglen hos en leverandør, skal løsningen ofte findes i aftalen. Det behandles under opfølgning på leverandøren.
Notér også, om manglens omfang har ændret sig. En mangel, der er blevet mindre, er en anden situation end en, der er uændret eller større, og rapporten bør sige, hvilken af dem der er tale om.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at gentagne mangler bliver markeret i rapporten og løftet til ledelsesorganet, og at ledelsesorganet træffer en beslutning, der står i referatet. Det kræver også ressourcer, for planer går sjældent i stå af sig selv.
Lader ledelsesorganet en gentaget mangel stå, har virksomheden to rapporter, der viser, at manglen var kendt. Over for et tilsyn er det et dårligt udgangspunkt, og det kan pege direkte på ledelsesorganets tilsyn efter § 7.
Det skal I lade være med
- At flytte datoen uden en ny beslutning · så står planen stille med et nyt tal.
- At skjule gentagelsen i rapporten · ledelsesorganet skal kunne se den.
- At behandle en gentaget mangel i krav som en almindelig forsinkelse · den har en anden vægt efter § 6, stk. 2.
Det skal auditten kunne vise
- ☐ Gentagne mangler markeret med dato for første konstatering.
- ☐ Forklaringen på den manglende fremdrift.
- ☐ Ledelsesorganets beslutning om en ny plan.
- ☐ En ejer med mandat og afsatte ressourcer.
- ☐ Status på hvert møde, indtil manglen er lukket.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7, 22, 23 og 32, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 6, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 7, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 15.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Sammenlign de to seneste rapporter, og skriv de mangler op, der går igen.
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Auditrapporten som dokumentation for tilsyn
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
