I kan selv gennemføre en NIS2-audit, hvis dem, der gennemgår et område, ikke selv har ansvaret for det. En ekstern uvildig er kun et krav, når myndigheden pålægger jer en audit ved et kvalificeret uafhængigt organ, eller når I hører til de digitale enheder under forordning 2024/2690.
Resten er et valg. Det handler om, hvor meget ledelsesorganet kan stole på resultatet, og hvad I har af folk, der kan gennemgå andres arbejde uden at gennemgå deres eget.
Det, vejledningen siger om intern og ekstern revision
Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle, 1. udgave maj 2025, beskriver i kapitel 4, hvordan ledelsesorganet kan føre det tilsyn, § 7, stk. 1 kræver. Tilsynet kan ske på forskellige måder. Vejledningen nævner tre eksempler: periodiske ledelsesrapporter, processer for intern revision og en ekstern revision af NIS 2-kravene. I de to sidste går resultaterne direkte til ledelsen.
Vejledningen bruger ordet revision, og her læses det som intern eller ekstern revision (audit) af sikkerheden. Begge former står som ligeværdige eksempler i samme opremsning.
Kapitel 2 i samme vejledning tilføjer, at ledelsesorganet kan lægge opgaver ud til et udvalg, fx et revisionsudvalg eller et udvalg for cyber- og informationssikkerhed. Det samlede ledelsesorgan har dog fortsat ansvaret og bør påse, at udvalget udfører opgaverne. Rapporterer en intern audit til et udvalg, skal sporet derfor føre videre til bestyrelse eller direktion. Hvad ledelsen selv bidrager med undervejs, står i ledelsens rolle i auditten.
En målestok for uafhængighed
Loven siger intet om, hvem der må gennemføre en frivillig audit. En brugbar målestok findes i gennemførelsesforordning (EU) 2024/2690, bilaget punkt 2.3.2. Den er kun bindende for de digitale enheder, som forordningen omfatter, men den kan bruges som kriterium andre steder, når det står tydeligt i opdraget.
Forordningen kræver, at uafhængige gennemgange udføres af personer med passende auditkompetence. Bruger enheden egne medarbejdere, må de ikke være over- eller underordnet personalet på det område, der gennemgås. Tillader størrelsen ikke det, skal der træffes andre foranstaltninger, så gennemgangen bliver upartisk. ENISA nævner i sin tekniske vejledning rotation, et udvalg med folk fra forskellige afdelinger eller en ekstern tredjepart som eksempler.
Overført til en almindelig virksomhed giver det en enkel prøve. Gennemgår den, der skrev adgangspolitikken, også adgangsstyringen? Er IT-chefen leder for den, der skal vurdere IT-driften? Lyder svaret ja, er den interne audit ikke upartisk på det område.
Hvad en intern audit kan bære
En intern audit egner sig godt til de områder, hvor der findes en kollega uden ansvar for området. Den egner sig også til den løbende kontrol mellem de større gennemgange, fx en stikprøve på fratrædelser eller en gennemgang af hændelsesloggen. Den kræver, at kriterierne er skrevet ned, at beviset gemmes, og at resultatet går til ledelsesorganet.
Den mindre virksomhed har sjældent folk nok til at holde opgaverne adskilt. Én person har ofte både driften, sikkerheden og dokumentationen. Så falder den interne model sammen for netop de områder, hvor risikoen er størst. Se den mindre NIS2-virksomhed.
Hvornår der bør en udefra til
Fire situationer taler for en ekstern auditor. Vurderingen er praksis og ikke lovkrav.
Den første er den nævnte, hvor ingen internt kan gennemgå et område uden at gennemgå sig selv. Den anden er den første gennemgang efter registreringen, hvor kriterierne skal fastlægges, og ledelsen har brug for et billede uden husblindhed. Den tredje er, når bestyrelsen vil have svar uden om direktionen, som beskrevet i bestyrelsen bestiller auditten. Den fjerde er, når den rådgiver, der har bygget jeres NIS2-arbejde, tilbyder at kontrollere det. Det spørgsmål er behandlet i må rådgiveren auditere sit eget arbejde?.
Den tekniske del kan følge samme logik. Konfigurationer og udtræk kan kontrolleres af egne folk, hvis de ikke har sat dem op. Selve de tekniske kontrolpunkter ét for ét er et emne for sig. Den virksomhed, der vil opbygge en fast intern revisionsfunktion og måle modenhed over år, har brug for en anden model end en enkelt gennemgang.
Hvad det kræver, og hvad det koster at lade være
En intern audit kræver folk med auditkompetence, tid fri fra egne opgaver og en skriftlig plan for, hvem der gennemgår hvad. En ekstern kræver, at dokumenter og adgang stilles til rådighed, og at nogen i huset følger forløbet. De to kan kombineres, så den eksterne tager de områder, hvor der ingen upartisk intern findes.
Vælger I en intern model uden adskillelse, risikerer I at få et resultat, der ser betryggende ud, fordi den, der kontrollerer, også har lavet arbejdet. Ledelsesorganet godkender så på et svagere grundlag, end det tror.
Det skal I lade være med
- At lade den ansvarlige gennemgå sit eget område · det svækker konklusionen.
- At stoppe rapporteringen hos et udvalg · ansvaret ligger hos hele ledelsesorganet.
- At kalde en gennemgang uafhængig uden at skrive, hvordan · beskriv adskillelsen i opdraget.
Det skal auditten kunne vise
- ☐ Hvem der har gennemgået hvert område, og deres forhold til området.
- ☐ Hvordan upartiskheden er sikret, hvor adskillelse ikke var mulig.
- ☐ At resultatet er modtaget af ledelsesorganet, med dato.
- ☐ Om myndigheden har stillet krav om et kvalificeret uafhængigt organ.
Kilder
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, læst 12. november 2026.
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tegn en tabel med de ti områder i § 6, og skriv ud for hvert, hvem der kan gennemgå det uden at være ansvarlig for det.
Læs også: Kræver NIS 2-loven en audit? · Egenkontrol og årshjul
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
