En sikkerhedsaudit dækker typisk seks områder: ledelse, politikker og dokumentation, adgangsstyring, backup og genetablering, leverandører, medarbejderne og den tekniske sikkerhed. Hvilke af dem der er med, og hvor dybt hvert gennemgås, vælger I efter jeres risici. Et opdrag, der dækker alt lige grundigt, bliver enten meget stort eller meget overfladisk.
Mange leder efter en tjekliste over, hvad en audit indeholder. Den findes ikke i én udgave, fordi indholdet afhænger af virksomheden. Men de fleste audits er bygget over de samme områder. Her er de, med det spørgsmål hvert område besvarer, og det bevis auditor typisk beder om.
De seks områder
1. Ledelse, politikker og dokumentation. Har ledelsen besluttet, hvordan sikkerheden styres, og er det skrevet ned? Er politikken godkendt, kendt af medarbejderne og fulgt? Bevis er godkendte dokumenter, referater og interviews med ledelsen.
2. Adgangsstyring. Hvem har adgang til hvad, hvorfor, og bliver adgangen lukket, når den ikke længere er nødvendig? Er administratorkonti og fjernadgang beskyttet med mere end en adgangskode? Bevis er udtræk af brugere og rettigheder holdt op mod lister over ansatte, og stikprøver på fratrædelser.
3. Backup og genetablering. Bliver data sikkerhedskopieret, er kopien beskyttet mod at blive slettet eller krypteret ved et angreb, og er gendannelse prøvet? Bevis er backuprapporter, logs og dokumentation for en gendannelsestest.
4. Leverandører og tredjeparter. Hvilke leverandører har adgang til systemer og data, hvilke krav stiller aftalerne, og følger I op? Bevis er aftaler, leverandørlister og leverandørernes egne rapporter.
5. Medarbejderne. Kender medarbejderne fremgangsmåden, når en mail virker forkert, og hvem de skal ringe til, når noget går galt? Bevis er materiale fra oplæring, interviews og evt. resultater af øvelser.
6. Den tekniske sikkerhed. Er systemer opdaterede, er opsætningen fornuftig, og bliver hændelser opdaget? Bevis er udtræk fra opdateringsværktøjer, konfigurationer og logs. Den tekniske påvisning punkt for punkt er emnet for teknisk audit af systemerne, mens skellet mellem opsætning og styring står i teknisk gennemgang eller audit af styringen.
Andre måder at inddele på
Områderne kan også lægges efter et regelsæt eller et rammeværk. NIS 2-loven opregner i § 6, stk. 1, mindst ti punkter, der skal være dækket, bl.a. risikoanalyse, sikkerheden hos direkte leverandører og en fast måde at efterprøve effekten af det, der er indført. D-mærket bruger otte kriterier fra ledelse og awareness til teknisk sikkerhed og leverandører.
Uanset inddelingen er indholdet stort set det samme. Det afgørende er, at inddelingen passer til de kriterier, I måler imod. Se auditkriterier og D-mærket eller en sikkerhedsaudit.
Hvorfor ikke alle områder lige dybt
Det er almindelig praksis at lade dybden følge risikoen. Et område med høj risiko får flere interviews, flere stikprøver og måske en teknisk test. Et område med lav risiko får en kortere gennemgang af dokumenter.
Det er også det, NIS 2-loven lægger op til med ordene “passende og forholdsmæssige” foranstaltninger. Vores tolkning er, at en audit efter loven bør afspejle den samme forholdsmæssighed. Ifølge vejledningen om audit på sikkerdigital.dk bør auditplanen tage stilling til bl.a. omfanget, og det er i omfanget, at dybden bliver lagt fast.
Et tænkt eksempel: en virksomhed, hvis forretning hviler på en webshop, lægger vægten på adgangsstyring, backup og leverandøren af platformen. Medarbejderområdet får en kortere gennemgang, fordi få medarbejdere har adgang til de kritiske systemer.
Sådan vælger I omfanget
Start med forretningen. Hvilke processer kan virksomheden ikke undvære i en uge? Hvilke data ville skade jer eller jeres kunder mest, hvis de blev lækket? Hvilke leverandører holder de vigtigste systemer kørende? Svarene peger på de områder, der skal i dybden.
Spørg også, hvad der er ændret siden sidste gennemgang. Et nyt system, en ny leverandør eller et skift i, hvem der har ansvaret for IT, er gode grunde til at give netop det område mere tid denne gang.
Skriv derefter i opdraget, hvilke områder der er med, hvor dybt, og hvad der bevidst er holdt ude. Fremgangsmåden er beskrevet i afgrænsning af en sikkerhedsaudit. Vil I dække alle områder grundigt over tid, kan et program over flere år være svaret. Se auditplan og auditprogram og, for de større virksomheder, måling af modenhed over flere år.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort snak i ledelsen om, hvad der er vigtigst for forretningen, og nogen, der kan oversætte det til områder og dybde. Det tager et møde eller to.
Uden et bevidst valg dækker auditten enten det hele overfladisk eller det, auditor plejer at se på. I begge tilfælde kan det vigtigste system få samme opmærksomhed som printerne.
Det skal I lade være med
- At bestille “det hele” uden prioritering · dybden spredes tyndt.
- At glemme leverandørerne · meget af driften ligger hos dem.
- At holde områder ude uden at skrive det · læseren tror, de er vurderet.
Det skal auditten kunne vise
- ☐ Hvilke områder der var med, og hvilke der ikke var.
- ☐ Hvordan dybden er valgt ud fra risiko.
- ☐ Bevis pr. område: dokumenter, udtræk, interviews og stikprøver.
- ☐ En begrundelse for de områder, der fik en kortere gennemgang.
Kilder
- Retsinformation, Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- D-mærket, Kriterier, https://d-maerket.dk/da/bliv-d-maerket/kriterier, læst 12. november 2026.
- Sikkerdigital.dk, Audit og måling, https://www.sikkerdigital.dk/myndighed/iso-27001-implementering/evaluering-og-forbedring/audit-og-maaling, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tjeklister i en audit · Sådan bestiller I en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
