En sikkerhedsaudit er virksomhedens egen rapport, og der er ikke fundet regler om, hvem en privat virksomhed skal eller må dele den med. I bestemmer altså selv. Den vigtige undtagelse er tilsynet, der kan kræve oplysninger og dokumentation efter NIS 2-loven. Over for kunder, forsikring og andre er det sjældent en god idé at udlevere hele rapporten. En tilpasset udgave eller en anden form for dokumentation dækker som regel behovet.
Rapporten indeholder en liste over jeres svagheder. Den liste er værdifuld for den, der vil angribe jer.
Tilsynet er en anden sag
For virksomheder omfattet af NIS 2-loven kan den kompetente myndighed forlange oplysninger og dokumenter, herunder bevis for, at cybersikkerhedspolitikkerne er ført ud i livet. Det følger af § 21 for væsentlige enheder og § 24 for vigtige. Myndigheden skal oplyse formålet og præcisere, hvad den vil have.
Om en frivillig auditrapport skal med i svaret til tilsynet, er et selvstændigt spørgsmål, som er behandlet i skal auditrapporten med til tilsynet?. Denne artikel handler om alle andre modtagere.
Hvorfor kunderne spørger
En kunde, som NIS 2-loven gælder for, har en god grund til at spørge. Forsyningskædesikkerhed er et af de ti minimumspunkter i § 6, stk. 1, nr. 4. Styrelsen for Samfundssikkerheds vejledning nævner i et eksempel, at aftaler med leverandører kan indeholde ret til audit og dokumentation for sikkerhedspraksis. Eksemplet er en liste over spørgsmål uden kravets vægt, men det viser, hvad en kunde kan finde på at bede om.
Kunden har brug for at vide, om I styrer jeres sikkerhed på en måde, der beskytter kundens data og ydelser. Kunden har normalt ikke brug for detaljerne om hver svaghed. Hvordan kunden bør stille kravet, behandles under kundens krav til leverandøren.
Fire måder at dele uden at udlevere alt
En tilpasset udgave. Standarderne for intern revision nævner, at der kan udsendes flere udgaver af en rapport, tilpasset forskellige modtagere. En kundeudgave kan indeholde omfang, kriterier, metode og konklusion pr. område, men uden de tekniske detaljer om de enkelte fund. Aftal med auditor fra start, at en sådan udgave skal laves, og hvordan den må bruges.
En sammenfatning med status på handlingsplanen. Kunden kan få at vide, at der er fund, at de har ejere og datoer, og hvor langt I er. Det viser styring uden at afsløre svaghederne.
En revisorerklæring. Revisorernes brancheorganisation FSR har udarbejdet en ISAE 3000-skabelon til NIS 2-erklæringer. Formålet er at give et fælles udgangspunkt mellem de omfattede enheder og deres leverandører. Erklæringen afgives af godkendte revisorer, og skabelonen må efter FSR kun bruges af dem. Om forskellen på de to produkter, se rapport eller erklæring.
Adgang under fortrolighed. Kræver kunden at se mere, kan en gennemgang af rapporten ske hos jer, uden at kunden får en kopi. Vilkårene bør stå i en aftale.
Forsikring, revisor og bestyrelse
Forsikringsselskaber kan bede om oplysninger før tegning eller fornyelse. Vilkårene varierer og er ikke undersøgt her. Overvej, om en sammenfatning eller en besvarelse af selskabets spørgsmål med henvisning til rapporten er nok. Hvordan svarene kan belægges, står i cyberforsikringens spørgeskema.
Den finansielle revisor kan have brug for oplysninger om IT-kontroller. Hvad revisor kan kræve, er ikke undersøgt her.
Bestyrelsen skal have hele rapporten. Den er ledelsesorgan efter NIS 2-loven, når der både er bestyrelse og direktion, og den kan ikke føre tilsyn med noget, den ikke har set.
Store virksomheder og koncerner, der rapporterer på tværs af selskaber, finder mere om rapportering i koncerner.
Tænk også på, hvordan rapporten opbevares og sendes. En rapport i en delt mappe med bred adgang, eller sendt ukrypteret som vedhæftet fil, kan nå længere end planlagt. Giv den en klassifikation, begræns adgangen til dem, der har brug for den, og notér, hvem der har fået en kopi. Det er de samme principper, som jeres egne politikker formentlig allerede bruger for fortrolige oplysninger.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at rapportens fortrolighed og eventuelle kundeudgaver er aftalt med auditor i opdraget. Det kræver også en intern regel om, hvem der må dele rapporten, og en oversigt over, hvem der har fået hvad.
Deler I hele rapporten frit, ligger listen over jeres svagheder hos flere, end I kan overskue. Nægter I at dele noget, kan det koste kunder, der selv skal dokumentere styringen af deres leverandører.
Det skal I lade være med
- At sende hele rapporten til enhver, der spørger · den rummer en liste over jeres svagheder.
- At love kunder en rapport, auditor ikke har aftalt at lave · kundeudgaven skal ligge i opdraget.
- At holde bestyrelsen ude · den skal kunne føre tilsyn.
Det skal auditten kunne vise
- ☐ En aftale med auditor om fortrolighed og eventuelle kundeudgaver.
- ☐ En intern regel for deling af rapporten.
- ☐ En oversigt over, hvem der har modtaget rapporten eller uddrag af den.
- ☐ Fortrolighedsvilkår, hvor kunder har set mere end en sammenfatning.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 21 og 24, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 4, læst 12. november 2026.
- FSR danske revisorer, Opdateret ISAE 3000-template til NIS 2-erklæringer, 10. december 2025, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 15.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv i opdraget, at auditor også skal levere en udgave, I kan vise kunderne.
Læs også: Kunden kræver dokumentation for jeres IT-sikkerhed · Auditaftalen
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
