En sikkerhedsaudit kan ikke love, at virksomheden er sikker. Den viser, hvordan det så ud på det tidspunkt, beviset blev indsamlet, i de områder og med de stikprøver, der var aftalt. Den udsteder hverken et certifikat eller en godkendelse og erstatter ikke en revisorerklæring.
Forventningen er forståelig. Ledelsen har bestilt og betalt for en grundig gennemgang og vil gerne vide, om de kan sove trygt. Men en audit, der lover mere, end den kan holde, skaber falsk tryghed. Artiklen gennemgår grænserne, så I kan læse rapporten rigtigt og forklare den til andre.
Et billede på et tidspunkt
Den internationale standard for erklæringer, ISAE 3000, skriver, at en vurdering af intern kontrols effektivitet er historisk. Den siger intet om fremtidige perioder, fordi forholdene kan ændre sig. Standarden handler om erklæringer, men pointen gælder også for en sikkerhedsaudit og er brugt her som analogi.
En audit, der blev afsluttet i marts, siger intet om en ny server, der blev sat op i april, eller om en medarbejder, der gav sin adgangskode væk i maj. Hvor længe et resultat er brugbart, afhænger af, hvor meget der ændrer sig. Om auditten udtaler sig om et øjeblik eller om en periode, er forklaret i øjebliksbillede eller periode.
Stikprøver frem for det hele
En audit ser ikke på hver bruger, hver ændring og hver backup. Den tager stikprøver. ISAE 3000 nævner stikprøvevis test som en af grundene til, at selv en erklæring med høj grad af sikkerhed er mindre end absolut sikkerhed. Det samme gælder en audit. Fejl kan gemme sig i det, der ikke blev trukket ud.
Standarden nævner to grunde mere: de iboende begrænsninger i al intern kontrol, fx at folk kan omgå kontroller eller lave fejl, og at meget bevis er overbevisende frem for endegyldigt. Hvordan stikprøver vælges, og hvad de kan sige, står i stikprøver i audit.
Kun det aftalte
Auditten dækker det omfang, der stod i opdraget. Systemer, lokationer og leverandører uden for omfanget er ikke vurderet. Det kan lyde selvfølgeligt, men det er ofte det, der går tabt, når rapporten læses af andre end dem, der bestilte den. En god rapport skriver derfor tydeligt, hvad der var uden for. Se afgrænsning af en sikkerhedsaudit.
Intet certifikat
En sikkerhedsaudit giver ikke et certifikat. Et ISO/IEC 27001-certifikat udstedes af et certificeringsorgan, der i Danmark kan være akkrediteret af DANAK. Selv om auditten bruger standarden som kriterium, og alle krav er opfyldt, er resultatet en rapport. Forskellen er gennemgået i tre slags ISO 27001-audit.
Ingen revisorerklæring
En auditrapport fra en sikkerhedsauditor er ikke en erklæring med sikkerhed efter en revisionsstandard. Revisorloven gælder, når en revisor afgiver erklæringer med sikkerhed til andre end hvervgiveren. Kræver en kunde eller en lov en sådan erklæring, er det et andet produkt. Se erklæring eller auditrapport.
Ingen godkendelse
En audit godkender intet på vegne af en myndighed, en kunde eller et forsikringsselskab. Den kan give jer bevis, der kan bruges over for dem, men det er modtageren, der vurderer, om det er nok. For virksomheder under NIS 2-loven er grænserne over for tilsynet beskrevet i grænserne for en NIS2-audit.
Ingen test af, om et angreb lykkes
En audit vurderer styring og praksis og kan bruge testresultater som bevis. Den er ikke selv en angrebstest. Om en bestemt vej ind er åben, kræver en teknisk test, og hvad den kan konkludere, står i audit, pentest eller scanning. Den detaljerede tekniske påvisning af opsætningen er emnet for teknisk audit af kontrolpunkterne.
Hvad auditten så kan
Inden for grænserne giver auditten et dokumenteret og uafhængigt billede af, hvor virksomheden står målt mod aftalte kriterier, med bevis for hvert fund og en prioriteret liste over, hvad der skal gøres. Det er grundlaget for at træffe beslutninger og for at vise andre, at I arbejder systematisk.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I læser rapportens afsnit om omfang, metode og begrænsninger lige så grundigt som fundene, og at I forklarer grænserne, når rapporten bruges over for andre. Det er et kvarters ekstra læsning, som er værd at tage med vilje.
Bliver auditten læst som en garanti, kan ledelsen stoppe med at følge op mellem to audits, og bestyrelsen kan tro, at et område er vurderet, som lå uden for omfanget. Opstår der så en hændelse netop dér, er tilliden til hele rapporten væk.
Det skal I lade være med
- At sige til kunder, at I er “godkendt” · auditten godkender intet.
- At springe begrænsningsafsnittet over · det er dér, grænserne står.
- At regne et resultat for gyldigt i årevis · det beskriver tilstanden på et tidspunkt.
Det skal auditten kunne vise
- ☐ Hvornår beviset blev indsamlet, og hvilken periode det dækker.
- ☐ Hvad der var uden for omfanget.
- ☐ Hvordan stikprøverne er valgt, og hvor store de var.
- ☐ Begrænsninger undervejs, fx systemer, der ikke kunne undersøges.
Kilder
- IAASB, ISAE 3000 (Revised), A14 og A165, https://www.iaasb.org/system/files/publications/files/ISAE%203000%20Revised%20-%20for%20IAASB.pdf, læst 12. november 2026.
- DANAK, Om akkreditering, https://danak.dk/om-akkreditering, læst 12. november 2026.
- Retsinformation, Lovbekendtgørelse nr. 206 af 20. februar 2025 (revisorloven), § 1, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tjeklister i en audit · Øjebliksbillede eller periode
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
