I en NIS2-audit tæller fire slags bevis: dokumenter, interviews, observation og teknisk afprøvning. Styrelsen for Samfundssikkerheds vejledning lægger dog vægt på det nedskrevne, så en god praksis uden papir vil typisk stå som en mangel i dokumentationen, også selv om arbejdet bliver gjort.
Det lyder formelt, men det har en praktisk grund. Tilsynet kan bede om dokumentation, og den skal kunne afleveres uden at de personer, der kender praksis, er til stede.
Vejledningens eget dokumentationsbegreb
Vejledningen til NIS 2-loven om cybersikkerhedsforanstaltninger definerer dokumentation i sin ordliste. Den består af nedskrevne politikker og procedurer, som alle relevante medarbejdere har adgang til, i den form enheden i forvejen bruger. Ved tilsyn kan dokumentationen også have andre former. Vejledningen nævner selv netværksovervågningslogs, udskrift af adgangstilladelser og referater. Dokumentationen skal under alle omstændigheder kunne gøres tilgængelig for tilsynet.
To ting følger af det. Der stilles ingen formkrav, hvilket myndighedens FAQ fra kommunetilsynet også bekræfter. Til gengæld skal det, der kræves, findes på skrift, og medarbejderne skal kunne finde det.
Skal, bør og kan bestemmer beviskravet
Vejledningen skelner mellem tre slags formuleringer, og de stiller forskellige krav til beviset. For det, der skal implementeres, skal enheden kunne forelægge dokumentation. For det, der bør implementeres, skal enheden over for myndigheden kunne forklare, hvorfor den har valgt det fra, med hensyn til teknologisk stade, omkostninger og egne risici. Myndighederne forventer, at anbefalingerne er fulgt, eller at enheden har taget dokumenteret stilling til, at dens risikohåndtering er tilstrækkelig.
Det betyder, at beviset for et fravalgt “bør” er selve begrundelsen. En auditor vil derfor spørge efter den skrevne vurdering, ikke efter foranstaltningen. Det, der kun “kan” implementeres, er forslag og giver ikke et fund. Hvordan de tre ord bliver til auditkriterier, er forklaret i skal, bør og kan.
De fire former for bevis
NIST beskriver tre metoder: at undersøge, at interviewe og at teste. Observation af en proces hører under det første, men den er værd at nævne for sig, fordi den viser praksis, mens den foregår.
Dokumenter viser, hvad der er besluttet og beskrevet. Interviews forklarer, hvordan arbejdet faktisk udføres, og hvorfor. Observation viser praksis på et bestemt tidspunkt. Teknisk afprøvning sammenligner en opsætning eller en funktion med den ønskede tilstand.
Standarderne for intern revision beskriver, hvornår et bevis er pålideligt. Det er stærkere, når auditor selv har hentet det, når det er bekræftet fra mere end én kilde, eller når det kommer fra et system med effektive kontroller. Et interview alene er sjældent nok til en konklusion om, at en kontrol virker. Forskellen på design, indførelse og virkning står i design, indførelse og virkning.
Når den gode praksis ikke er skrevet ned
Mange virksomheder har folk, der gør det rigtige uden at have en procedure. Backuppen bliver testet, adgange bliver lukket, og opdateringer bliver lagt på. Auditor kan se det i logs og ved at følge sager.
Det viser, at noget sker. Men vejledningen kræver nedskrevne politikker og procedurer for det, der skal implementeres. Praksis uden papir vil derfor typisk give et fund om dokumentationen, mens rapporten samtidig kan anerkende, at arbejdet udføres. Det er en tolkning af vejledningens krav, og den konkrete vurdering ligger hos auditor og i sidste ende hos den sektoransvarlige myndighed.
Løsningen er sjældent et stort dokument. Ofte rækker en kort procedure, der beskriver det, folk allerede gør, og hvem der gør det. Skriv den, så den passer til praksis, ikke omvendt.
Bevis, der holder over for tilsynet
Tilsynet kan efter § 21 og § 24 i NIS 2-loven kræve oplysninger og dokumentation for gennemførelsen af cybersikkerhedspolitikker. Kravet skal ledsages af et formål og en præcis angivelse af oplysningerne og formen. Det taler for, at beviset fra auditten samles, så det kan genbruges. Hvordan pakken bygges, står i aflevering af bevis, og ordningen efter lovens ti punkter i dokumentlisten og bevismappen.
Vil I bruge auditbeviset til at måle fremskridt over flere år, behandles det under modenhed og intern audit.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at krav og anbefalinger i vejledningen er gennemgået ét for ét, og at hvert fravalg af et “bør” har en kort, skrevet begrundelse. Procedurer skal ligge, hvor medarbejderne kan finde dem.
Mangler beviset, kan auditor ikke konkludere, at kravet er opfyldt. I skal så bruge tid i auditten på at forklare praksis mundtligt, og forklaringen vil ikke kunne genbruges over for tilsynet.
Det skal I lade være med
- At skrive procedurer, ingen følger · så viser sporene i systemerne en anden praksis end papiret.
- At fravælge et “bør” uden at skrive hvorfor · det fravalg er netop det, myndigheden forventer dokumenteret.
- At regne mundtlige forklaringer for bevis · de bekræfter, men de dokumenterer ikke.
Det skal auditten kunne vise
- ☐ Nedskrevne politikker og procedurer for de krav, vejledningen stiller.
- ☐ En skrevet begrundelse for hver anbefaling, I har valgt fra.
- ☐ Logs, udtræk eller referater, der viser, at procedurerne bliver fulgt.
- ☐ For hver konklusion: hvilken slags bevis den bygger på.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, ordlisten og s. 9, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn med kommuner 2026, FAQ, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21 og 24, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de anbefalinger i vejledningen, I ikke følger, og skriv én begrundelse ud for hver.
Læs også: Logs og ændringsspor som bevis · Hvad er en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
