En NIS2-audit er en uafhængig gennemgang af, om jeres sikkerhedsforanstaltninger, jeres dokumentation og jeres evne til at underrette lever op til NIS 2-loven. Den svarer på, om det, ledelsen har godkendt, også findes i praksis, og om I kan vise det til den myndighed, der fører tilsyn med jer.
Mange spørger først “NIS2, hvad er det?” og dernæst, hvad en audit skal gøre. Ordet NIS2-audit står ikke i loven. Det er en betegnelse fra praksis for en frivillig gennemgang, og beskrivelsen nedenfor er en tolkning bygget på lovens paragraffer og Styrelsen for Samfundssikkerheds vejledninger.
Hvor ordet audit står i loven
Loven fra maj 2025 har gældet siden 1. juli samme år. Ordet sikkerhedsaudit optræder kun få gange i den, og hver gang som et af myndighedens redskaber. Den kompetente myndighed, som vejledningerne kalder den sektoransvarlige, må selv auditere en enhed, og den må pålægge enheden at lade et kvalificeret uafhængigt organ gøre arbejdet (§ 21, stk. 1, nr. 2 og 3, og § 24, stk. 1, nr. 2). Den kan også påbyde, at anbefalingerne fra en gennemført sikkerhedsaudit bliver fulgt (§ 22, nr. 6, og § 25, nr. 5).
Den audit, en virksomhed selv bestiller, hører et andet sted hjemme. Den er frivillig, og virksomheden bestemmer omfang og modtagere. Hvordan den frivillige og den pålagte forholder sig til hinanden, står i audit og tilsyn. Hvad loven kræver af jer selv, er samlet i kræver NIS 2-loven en audit?.
Det, auditten måler imod
Kriterierne kommer fra loven. Efter § 6, stk. 1 skal foranstaltningerne være passende og forholdsmæssige, og de skal mindst dække ti områder: politik for risikoanalyse og informationssikkerhed, hændelseshåndtering, driftskontinuitet, forsyningskæden, sikkerhed ved anskaffelse og udvikling, vurdering af effektiviteten, cyberhygiejne og uddannelse, kryptografi, personalesikkerhed med adgangskontrol og aktiver samt multifaktorautentificering og sikret kommunikation.
Dertil kommer § 6, stk. 2 om at rette mangler uden unødigt ophold, § 7 om ledelsesorganets godkendelse, tilsyn og kurser, §§ 9 og 10 om registrering og §§ 12 til 15 om underretning af myndighed, CSIRT og modtagere af jeres tjenester.
De ti områder er foldet ud i styrelsens foranstaltningsvejledning fra juni 2025. Den deler sine punkter i skal, bør og kan. Et skal er et krav, I skal kunne dokumentere. Et bør er en anbefaling, hvor I over for tilsynet skal kunne forklare et fravalg. Et kan er et eksempel. Hvordan de tre ord bliver til kriterier i en rapport, står i skal, bør og kan.
Seks spørgsmål, auditten kan besvare
Læst ud fra lovteksten kan en NIS2-audit give ledelsen svar på seks spørgsmål. Listen er en tolkning, ikke en myndigheds skema.
- Er de ti foranstaltninger på plads, og er de skrevet ned?
- Har ledelsesorganet godkendt dem, og fører det tilsyn med gennemførelsen?
- Har medlemmerne af ledelsesorganet deltaget i relevante kurser?
- Er registreringen af enheden korrekt og ajourført?
- Kan I nå lovens frister, når en væsentlig hændelse skal meldes?
- Er de anbefalinger, I har valgt fra, begrundet skriftligt?
Hvert svar bygger på bevis. Det kan være et dokument, et referat, et udtræk fra et system, et interview eller en stikprøve. Et svar uden bevis er en påstand, og det er netop den forskel, der adskiller en audit fra en statussamtale.
Hvem auditten er skrevet til
Ledelsesvejledningen fra maj 2025 siger, at ledelsesorganet skal føre tilsyn med, at foranstaltningerne gennemføres og har den fornødne effekt. Blandt vejledningens eksempler på den slags tilsyn er både en intern og en ekstern revision, der begge melder deres resultater tilbage til ledelsen.
Auditten er derfor først og fremmest et redskab for bestyrelse eller direktion. Den sikkerhedsansvarlige bruger fundene til at planlægge arbejdet, men konklusionen skrives til dem, der har godkendt foranstaltningerne. En virksomhed, der vil følge sikkerhedsmodenheden over flere år, har brug for mere end én gennemgang, og den måling ligger uden for en enkelt NIS2-audit.
Det, auditten ikke afgør
Vurderingen af, om loven er overholdt, ligger hos myndigheden. Det fremgår allerede af første side i foranstaltningsvejledningen. En auditrapport viser, hvad auditor undersøgte og fandt, og hvor bevisets grænser går. Den er hverken en godkendelse eller et certifikat. Grænserne er uddybet i artiklen om det, auditten ikke beviser.
Hvad det kræver, og hvad det koster at lade være
En NIS2-audit kræver, at nogen i huset samler dokumenterne, stiller op til interviews og giver adgang til systemerne, så auditor kan tage stikprøver. Ledelsesorganet skal afsætte tid til at modtage og drøfte resultatet. Varigheden afhænger af, hvor meget der allerede er skrevet ned, og hvor mange systemer enheden har. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Uden en gennemgang har ledelsen kun den sikkerhedsansvarliges egen beskrivelse at godkende ud fra. Det er et tyndt grundlag for det tilsyn, § 7 lægger på ledelsesorganet. Manglerne viser sig så først, når myndigheden spørger, eller når en hændelse skal underrettes under tidspres.
Det skal I lade være med
- At kalde rapporten en godkendelse · vurderingen af efterlevelsen ligger hos myndigheden.
- At måle mod en leverandørs tjekliste · kriterierne bør komme fra loven og vejledningen.
- At lade rapporten stoppe hos IT · det er ledelsesorganet, der fører tilsynet.
Det skal auditten kunne vise
- ☐ Kriterierne med paragraf: § 6, § 7, §§ 9 og 10 og §§ 12 til 15.
- ☐ For hvert af de ti områder: hvad der findes, og hvilket bevis auditor har set.
- ☐ Ledelsesorganets godkendelse med dato og referat.
- ☐ De fravalgte anbefalinger og begrundelsen for hver af dem.
- ☐ En konklusion, der er skrevet til ledelsesorganet.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de seks spørgsmål op, og sæt for hvert et navn på den, der i dag kan vise beviset.
Læs også: Intern eller ekstern NIS2-audit · Væsentlig eller vigtig enhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
