En sikkerhedsaudit giver mening, når nogen har brug for et dokumenteret svar på, om IT-sikkerheden lever op til et bestemt krav. Anledningen afgør, hvilket krav der måles imod, og hvem der skal læse resultatet, og derfor også hvilken slags gennemgang I bør bestille.
Mange virksomheder kommer til spørgsmålet “skal vi have en sikkerhedsaudit nu?” uden at have formuleret, hvem der spørger. Det er det første, der er værd at få på plads. En audit er en systematisk og dokumenteret gennemgang, hvor der samles bevis, som vurderes mod aftalte kriterier. Uden en anledning er der ingen kriterier, og så bliver rapporten svær at bruge bagefter.
Nedenfor står de anledninger, der oftest sætter en audit i gang, med det spørgsmål hver af dem stiller.
Når loven stiller krav til IT-sikkerheden
For en virksomhed under NIS 2-loven gælder det, at den skal træffe passende og forholdsmæssige foranstaltninger til at styre risiciene for sine net- og informationssystemer. Blandt punkterne i § 6, stk. 1 er nr. 6 om politikker og procedurer, der vurderer foranstaltningernes effekt. Efter § 7 er det ledelsesorganet, der godkender og holder øje med gennemførelsen. En audit er en måde at skaffe ledelsen det grundlag på. Hvad loven selv kræver af en audit, står i artiklen kræver NIS 2-loven en audit.
Behandler virksomheden personoplysninger, nævner databeskyttelsesforordningens artikel 32 en procedure for regelmæssig afprøvning og evaluering af sikkerheden. Forordningen gør den afhængig af, hvad der er relevant, så den er ikke et ubetinget krav om en audit. Spørgsmålet “it sikkerhed krav” har altså forskellige svar, alt efter hvilken lov der gælder for jer.
Når en kunde eller samarbejdspartner beder om dokumentation
En kunde kan sende et spørgeskema om jeres IT-sikkerhed, eller en kontrakt kan indeholde sikkerhedskrav. Kundens spørgsmål er her, om de kan stole på jer. En audit målt mod kundens krav giver jer et grundlag for at svare. Er kunden selv omfattet af NIS 2, skal kunden styre sikkerheden i forholdet til sine direkte leverandører, og så kan kravene blive mere detaljerede. Kundens ret til at revidere leverandøren og læse erklæringer er et emne for sig, som revisionsret og erklæringer i leverandørforholdet handler om.
Når forsikringen eller bestyrelsen spørger
Ifølge Forsikring & Pension (november 2026) afhænger dækningen på en cyberforsikring ofte af krav om bl.a. to-faktor-login, sikkerhedskopier, opdatering og styring af adgange. Før en fornyelse kan en audit vise, om de svar, I giver, kan belægges.
En bestyrelse har efter selskabsloven § 115 pligt til at påse, at der er fornødne procedurer for risikostyring og interne kontroller. Loven nævner ikke IT-sikkerhed, og det er en fortolkning, at den hører med. Mange bestyrelser vil dog have et uafhængigt billede af risikoen, og det er en almindelig anledning.
Når noget har ændret sig
Fire forandringer udløser ofte en audit:
- Efter en hændelse. Et angreb eller et nedbrud rejser spørgsmålet om, hvad der skulle have virket og ikke gjorde.
- Ny ledelse. En ny direktør eller IT-ansvarlig har brug for at vide, hvad der blev overtaget.
- Vækst. Det, der fungerede uformelt med få medarbejdere, holder ikke nødvendigvis, når virksomheden er større.
- Skift af IT-leverandør. Et skifte giver anledning til at se på, hvad den gamle leverandør efterlod, og hvad den nye overtager.
Ved skift af leverandør er det ofte opsætningen, der skal gennemgås. Den tekniske side af det, med konfigurationer og udtræk, er beskrevet under teknisk gennemgang af konfigurationer.
Når der ikke er nogen ekstern anledning
Nogle virksomheder har ingen kunde, lov eller forsikring, der spørger, men ledelsen vil gerne vide, om virksomheden kan klare et angreb. Det er en gyldig anledning. Her vælger virksomheden selv kriterierne, fx sin egen sikkerhedspolitik eller en anerkendt ramme.
Mangler der en sikkerhedsansvarlig, og er IT-miljøet overskueligt, er en fuld audit ofte mere, end der er brug for. Et kortere IT-sikkerhedstjek kan give et prioriteret billede af de vigtigste områder.
Anledningen bestemmer slags audit
En enkel oversigt over sammenhængen, som praksis og ikke som regel:
- NIS 2-loven · Hvad måles imod: Lovens § 6 og myndighedens vejledning · Hvem læser resultatet: Ledelsesorganet, evt. tilsynet
- GDPR · Hvad måles imod: Artikel 32 og egen risikovurdering · Hvem læser resultatet: Ledelsen, dataansvarlig
- Kunde · Hvad måles imod: Kundens krav eller kontrakt · Hvem læser resultatet: Ledelsen, et uddrag til kunden
- Forsikring · Hvad måles imod: Forsikringens spørgsmål · Hvem læser resultatet: Ledelsen før fornyelsen
- Bestyrelse · Hvad måles imod: Egen politik og risikovurdering · Hvem læser resultatet: Bestyrelsen direkte
- Hændelse, ny ledelse, vækst · Hvad måles imod: Egen politik eller en ramme · Hvem læser resultatet: Direktion
Flere anledninger kan falde sammen. Så er det værd at vælge kriterier, der dækker dem alle, frem for at bestille to gennemgange af de samme områder.
Hvad det kræver, og hvad det koster at lade være
At finde anledningen kræver en samtale i ledelsen om, hvem der stiller spørgsmålet, og hvad svaret skal bruges til. Det tager sjældent mere end et møde. Svaret skrives ind i opdraget som formål og modtager.
Springes det over, bestilles auditten ud fra en vag fornemmelse af, at “det er på tide”. Rapporten kommer tilbage med fund målt mod kriterier, ingen har valgt, og kunden, forsikringen eller bestyrelsen får ikke svar på det, de spurgte om. Så bliver der brug for en ny gennemgang.
Det skal I lade være med
- At bestille uden at vide, hvem der spørger · uden anledning er der ingen kriterier.
- At læse GDPR artikel 32 som et ubetinget krav om audit · forordningen gør evalueringen afhængig af relevans.
- At tage to gennemgange af de samme områder · når anledningerne falder sammen, kan ét opdrag dække dem.
Det skal auditten kunne vise
- ☐ Hvilken anledning der satte auditten i gang, og hvem der stillede spørgsmålet.
- ☐ De kriterier, anledningen peger på, skrevet ind før start.
- ☐ Hvem rapporten er skrevet til, og om der skal laves et uddrag til en ekstern modtager.
- ☐ Hvilke krav fra lov, kunde eller forsikring der er dækket, og hvilke der ikke er.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6 og § 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 32, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
- Selskabsloven, lovbekendtgørelse nr. 331 af 20. marts 2025, § 115, https://www.retsinformation.dk/eli/lta/2025/331, læst 12. november 2026.
- Forsikring & Pension, pressemeddelelse 9. november 2026, “F&P: Mindre virksomheder undervurderer faren for cyberangreb”, https://via.ritzau.dk/pressemeddelelse/15259952/fandp-mindre-virksomheder-undervurderer-faren-for-cyberangreb?lang=da, læst 12. november 2026.
- NIST CSRC Glossary, “audit”, https://csrc.nist.gov/glossary/term/audit, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv i én sætning, hvem der har stillet spørgsmålet, og hvad svaret skal bruges til.
Læs også: Hvor ofte uden lovkrav · Hvad indgår i en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
