Loven sætter ingen frist for en audit, så tidspunktet er jeres eget valg. Et godt tidspunkt er, når de grundlæggende politikker og procedurer er skrevet og har kørt et stykke tid, og før myndigheden har grund til at spørge.
Pligterne gælder allerede. Det, der skal afgøres, er det tidspunkt, hvor en gennemgang giver ledelsen mest at handle på.
Status i Danmark
NIS 2-loven trådte i kraft 1. juli 2025 (§ 33, stk. 1). Omfattede enheder skulle registrere sig senest 1. oktober 2025 (§ 33, stk. 3). Ifølge styrelsens vejledning om anvendelsesområdet afhænger pligterne ikke af registreringsdatoen. De gælder fra den dag, loven trådte i kraft.
Har I altså registreret jer sent, eller har I endnu ikke gjort det, er foranstaltningerne i § 6 og ledelsens ansvar i § 7 alligevel gældende fra sommeren 2025. Ingen paragraf giver en indkøringsperiode for kravene.
Det, styrelsen har meldt ud om tilsynet
Styrelsen har lagt en tilsynsplan på sin hjemmeside under NIS 2-tilsyn. Ved læsning den 12. november 2026 stod der, at styrelsens tilsyn i 2026 og 2027 forventes at bestå af brede surveybaserede tilsyn med kommunerne og med offentlige forvaltningsenheder under den centrale forvaltning. De suppleres af dybere emnebaserede tilsyn hos udvalgte enheder, og der føres også tilsyn med registreringer. For øvrige væsentlige enheder koordineres tilsynet med de andre kompetente myndigheder. Tilsynet med alle 98 kommuner startede 19. maj 2026.
Planen er formuleret med ordet “forventes”, og den kan ændre sig. Den gælder kun styrelsens egne områder. Fører en anden myndighed tilsyn med jeres sektor, er det dens plan, der tæller, og de andre myndigheders planer er ikke gennemgået her. Trafikstyrelsen meldte i juni 2025 ud, at dens tilsyn i begyndelsen ville have vægt på at vejlede virksomhederne. Det gælder kun transportsektoren.
For en privat virksomhed betyder det, at ingen kan sige, hvornår tilsynet kommer. Usikkerheden taler for at have materialet klar i forvejen.
Tre tidspunkter, der giver mening
Hvornår auditten bør ligge, er en praktisk vurdering. Tre tidspunkter går igen.
Det første er, når risikovurdering, informationssikkerhedspolitik og procedurerne for hændelser og kontinuitet er skrevet, godkendt af ledelsesorganet og har været i brug i nogle måneder. Så er der praksis at kontrollere, og fundene handler om, hvordan det virker. Indholdet af en fuld gennemgang er beskrevet i grundartiklen om NIS2-audit. Ligger auditten før det, vil den mest konstatere, at dokumenterne mangler. I den situation giver en gap-analyse mere.
Det andet er inden en anledning, I kender. Det kan være en bestyrelsesbeslutning om budget, en fornyelse af en stor kundeaftale eller en større omlægning af IT-driften. En audit forud giver beslutningen et grundlag.
Det tredje er efter en hændelse, der har prøvet beredskabet. Her kan auditten se på, om procedurerne blev fulgt, og om underretningen nåede fristerne. Den type audit har sin egen artikel.
Auditten som redskab for ledelsesorganet
§ 7, stk. 1, lægger både godkendelsen af foranstaltningerne og tilsynet med dem hos ledelsesorganet. Styrelsens vejledning om ledelsens rolle nævner en ekstern gennemgang af NIS 2-kravene, der rapporterer resultaterne til ledelsen, som én af flere måder at føre det tilsyn på. Vejledningen kalder det ekstern revision. Den første audit bør derfor ligge, så ledelsesorganet kan bruge den i sit eget arbejde.
Det taler også for at måle på det, tilsynet selv måler på. I sin FAQ til kommunetilsynet skriver styrelsen, at tilsynet bygger på kravene i dens vejledning om implementering af cybersikkerhedsforanstaltninger. FAQ’en er skrevet til kommuner, men den viser, hvilket grundlag en myndighed bruger. Hører I under en anden myndighed, så spørg, hvilket grundlag den bruger.
Planlæg baglæns fra ledelsesmødet
Den første audit bør ende hos ledelsesorganet. Læg derfor tidspunktet ud fra det møde, hvor rapporten skal drøftes. Regn tiden til forberedelse, gennemgang, høring af fund og endelig rapport baglæns derfra. Forløbet er beskrevet trin for trin i forløbet i en NIS2-audit. Mål, omfang og tidsplan bør ledelsen kende fra starten. Det er god praksis i standarderne for intern revision.
Regn også med en runde mellem foreløbig og endelig rapport. NIST beskriver, at den, der ejer systemerne, først får en foreløbig rapport og kan rette misforståelser og fejl, der hurtigt kan rettes, før rapporten er endelig. Ændrede kontroller vurderes igen, inden den endelige udgave går til ledelsesorganet.
Undgå perioder, hvor nøglepersonerne er optaget af årsafslutning, store projekter eller ferie. En audit kræver interviews og adgang til systemer, og en udskudt stikprøve forsinker hele rapporten.
Hvad det kræver, og hvad det koster at lade være
At lægge den første audit kræver en beslutning i ledelsen om tidspunkt og omfang og en person, der koordinerer. Det kræver også, at det grundlæggende er på plads, så auditten har noget at måle på.
Venter I, til myndigheden spørger, bliver første gennemgang lavet under et tilsyn i stedet for i ro. Ledelsesorganet har så ikke fået et uafhængigt billede, før det skulle stå inde for det. Og en tilsynssag giver ikke tid til at rette det, en audit kunne have fundet i forvejen.
Det skal I lade være med
- At vente på en frist · loven har ingen for en audit.
- At læse tilsynsplanen som en garanti · den er en forventning og kan ændres.
- At auditere før det første udkast · resultatet bliver en liste over det, I allerede ved.
Det skal auditten kunne vise
- ☐ Dato for lovens ikrafttræden og for jeres registrering.
- ☐ Hvilken myndighed der er kompetent for jeres sektor.
- ☐ Hvornår politikker og procedurer blev godkendt, og hvor længe de har været i brug.
- ☐ Det ledelsesmøde, rapporten er planlagt til.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2-tilsyn, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, FAQ til NIS 2-tilsynet med kommunerne, læst 12. november 2026.
- NIST SP 800-53A Rev. 5, kapitel 3, læst 12. november 2026.
- The IIA, Global Internal Audit Standards, januar 2024, standard 13.1, læst 12. november 2026.
- Trafikstyrelsen, Sådan bliver din transportvirksomhed klar til NIS2, juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen for det ledelsesmøde, hvor rapporten skal drøftes, og tæl baglæns.
Læs også: Hvor ofte skal en NIS2-audit gentages? · Registreringen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
