Ingen regel fastsætter, hvor ofte en virksomhed uden for NIS 2-loven skal have en sikkerhedsaudit. Intervallet vælger I selv ud fra, hvor hurtigt risikoen og IT-miljøet ændrer sig, og ud fra hvad der sker undervejs, der gør den sidste rapport forældet.
Det svar er mindre bekvemt end et fast tal, men det er det, kilderne bærer. Spørgsmålet om audit frekvens dukker typisk op, når den første rapport er læst, og nogen spørger, hvornår man skal gøre det igen. Denne artikel samler, hvad regler og anerkendte vejledninger siger, og giver en måde at sætte intervallet på. For virksomheder omfattet af NIS 2 gælder andre overvejelser; de står i hvor ofte en NIS2-audit gentages.
Hvad reglerne siger, og hvad de ikke siger
Databeskyttelsesforordningen nævner i artikel 32, stk. 1, litra d som et af sine eksempler en procedure, der jævnligt prøver og evaluerer sikkerheden. Bestemmelsen gælder, alt efter hvad der er relevant, og ordet “regelmæssig” er ikke omsat til måneder eller år. Datatilsynet skriver i sin vejledning om behandlingssikkerhed, at overvejelserne skal ske med regelmæssige mellemrum, så de følger ændringer i risikobilledet. Heller ikke her står et interval.
Dansk Standard beskriver, at interne audits er obligatoriske for virksomheder, der arbejder efter en ledelsesstandard, og at de sker med regelmæssige mellemrum. Det gælder for den, der har valgt at følge standarden. Ordningen sætter heller ikke et tal på.
I Bestyrelsesforeningens anbefalinger fra 2021 står, at en opdateret cyberrisikovurdering bør ligge på bestyrelsens bord to gange årligt eller oftere. Anbefalingen handler om risikovurdering og nævner ikke audit. Den viser dog, at bestyrelsen bør have et nyt billede oftere end en gang om året.
D-mærket tildeles for et år ad gangen med årligt tilsyn. Det er mærkets egen ordning og gælder kun for den, der har mærket.
En måde at vælge intervallet på
Fordi intet tal er fastsat, er intervallet et ledelsesvalg. Tre forhold trækker i hver sin retning. Opstillingen her er praksis og et forslag.
Hvor meget står på spil. Jo mere forretningen afhænger af IT, og jo mere følsomme data der behandles, jo kortere bør afstanden mellem to gennemgange være.
Hvor hurtigt miljøet ændrer sig. En virksomhed, der hvert halve år tager nye systemer i brug, skifter leverandører eller ansætter mange, får hurtigere et forældet billede end en virksomhed med stabil drift.
Hvor mange fund der var sidst. Mange åbne fund taler for en opfølgning tidligere, så rettelserne bliver kontrolleret, før de glider ud af syne.
Mange virksomheder lander på en fuld gennemgang med nogle års mellemrum og en lettere opfølgning eller egen kontrol ind imellem. Andre vælger at dele området op og tage en del hvert år. Begge dele kan være forsvarlige, når valget er skrevet ned og begrundet.
Det, der udløser en ny audit før tid
Selv med et fast interval er der begivenheder, der gør den sidste rapport mindre brugbar:
- Skift af IT-leverandør eller driftsform. Det, der blev undersøgt, findes måske ikke længere.
- En alvorlig hændelse. Et angreb eller nedbrud viser, at noget ikke virkede, uanset hvad rapporten sagde.
- Ny ledelse. Den, der overtager ansvaret, vil vide, hvad der er arvet.
- Kraftig vækst eller nye forretningsområder. Flere folk og flere systemer ændrer risikoen.
- Nye krav udefra. En kunde, forsikring eller lov, der stiller krav, I ikke var målt mod.
Står en af disse på listen, bør ledelsen tage stilling til, om den planlagte dato skal rykkes frem.
Mellem to audits
Tiden mellem to eksterne gennemgange behøver ikke være tom. En virksomhed kan selv følge op på de fund, der er rettet, og måle de ting, der kan måles løbende, som opdateringer og backup. Den slags målinger er typisk noget, man kan bede IT-driftsleverandøren rapportere om. Hvordan egen kontrol og et årshjul bindes sammen, står i egenkontrol og årshjul.
Vil I bruge flere gennemgange over tid til at måle, om sikkerheden bliver bedre, kræver det, at kriterier og skala er de samme hver gang. Det er emnet for måling af sikkerhedsmodenhed over flere år. Skal gentagelsen omfatte tekniske kontrolpunkter, giver de tekniske kontrolpunkter ét for ét et grundlag at sammenligne på.
Hvad det kræver, og hvad det koster at lade være
Et begrundet interval kræver, at ledelsen én gang vurderer de tre forhold og skriver valget ned sammen med listen over begivenheder, der udløser en ny gennemgang før tid. Det kan stå i sikkerhedspolitikken eller i ledelsens årsplan.
Uden et valgt interval bliver auditten gentaget, når nogen tilfældigvis husker den, eller når en kunde spørger. Så kan der gå år, hvor ledelsen tror, den kender tilstanden, mens den sidste rapport beskriver et miljø, der ikke længere findes.
Det skal I lade være med
- At læse “regelmæssig” som en fast årlig pligt · hverken forordningen eller Datatilsynet angiver et interval.
- At holde fast i datoen efter et leverandørskifte · den sidste rapport dækker ikke det nye miljø.
- At lade tiden mellem to audits stå tom · rettelser og målbare forhold kan følges løbende.
Det skal auditten kunne vise
- ☐ Det valgte interval og begrundelsen for det.
- ☐ Listen over begivenheder, der udløser en ny gennemgang før tid.
- ☐ Hvornår den forrige audit blev lavet, og status på dens fund.
- ☐ Hvilke forhold der er fulgt løbende mellem de to gennemgange.
Kilder
- Forordning (EU) 2016/679, artikel 32, stk. 1, litra d, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Datatilsynet, “Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger”, juni 2018, afsnit 4, https://www.datatilsynet.dk/Media/637689328983143992/Behandlingssikkerhed%20og%20databeskyttelse%20gennem%20design%20og%20standardindstillinger_2018.pdf, læst 12. november 2026.
- Dansk Standard, “Internal audit – ISO 19011”, https://www.ds.dk/en/about-standards/management-systems/iso-19011-internal-audit, læst 12. november 2026.
- Bestyrelsesforeningens Center for Cyberkompetencer, “Cybersikkerhed for bestyrelser”, marts 2021, s. 8, https://www.ds.dk/media/552b2gvc/cybersikkerhed-for-bestyrelser-anbefalinger-til-styrkelse-af-cyberkompetencer-v2-1-marts-2021.pdf, læst 12. november 2026.
- D-mærket, “Proces”, https://d-maerket.dk/da/bliv-d-maerket/proces, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgningsaudit og lukkebevis · Auditplan eller auditprogram
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
