En revisorerklæring, jeres virksomhed allerede har fået til sine kunder, kan spare arbejde i NIS2-auditten. Den kan bruges som bevis for de kontroller, den faktisk har testet, i den periode og for de ydelser, den dækker, og alt andet skal stadig kontrolleres.
Hvor meget der kan genbruges, er en praktisk vurdering. Ingen myndighed har beskrevet, hvordan en virksomheds egen erklæring indgår i dens NIS2-arbejde, så fremgangsmåden nedenfor er en tolkning.
Situationen
IT-leverandører, hostingvirksomheder og andre, der driver systemer for kunder, får ofte en ISAE 3402- eller ISAE 3000-erklæring fra en revisor. Erklæringen er skrevet til kunderne og deres revisorer. Er virksomheden samtidig omfattet af NIS 2-loven, ligger der et stort materiale, som ledelsen naturligt vil bruge igen.
Spørgsmålet er, om erklæringen kan træde i stedet for en del af auditten. Svaret afhænger af tre ting, der alle står i erklæringen selv: hvad den dækker, hvornår den gælder, og hvad den har testet.
Afgrænsningen: hvilke ydelser og systemer
En erklæring beskriver et bestemt system eller en bestemt ydelse til kunderne. NIS 2-loven omfatter hele enheden. Efter vejledningen om anvendelsesområdet er det samtlige systemer, enheden bruger i sin drift og til sine tjenester, der hører med, også dem, kunderne aldrig ser.
Samme problem kendes fra ISO-certifikater, hvor anvendelsesområdet skal holdes op mod enheden. Det betyder, at interne systemer som økonomi, HR, mail og udviklingsmiljøer kan ligge uden for erklæringen og inden for auditten. Læg derfor erklæringens systembeskrivelse ved siden af jeres egen oversigt over systemer, og markér, hvad der ikke er dækket. Grundlaget for at tage alle afdelinger med er forklaret i artiklen om hele CVR-nummeret.
Perioden: hvornår gjaldt den
En erklæring udtaler sig om et tidspunkt eller en periode, der er afsluttet, når I læser den. Er der sket væsentlige ændringer siden, fx en ny driftsplatform, en ny leverandør eller en omlægning af adgangsstyringen, siger erklæringen ikke noget om det nye. Auditor vil derfor typisk tage stikprøver i tiden efter periodens slutning.
Kontrolmålene: hvad blev testet
Det vigtigste arbejde er at sammenligne erklæringens kontrolmål med lovens ti foranstaltninger og med de pligter, der står andre steder i loven. Tag dem ét ad gangen.
Vær opmærksom på de områder, hvor en erklæring til kunder ikke nødvendigvis går ind: ledelsesorganets godkendelse og tilsyn efter § 7, stk. 1, ledelsens kurser efter § 7, stk. 2, registreringen efter § 10 og underretningspligterne i §§ 12 til 15 med deres frister. Står de ikke som kontrolmål i erklæringen, skal de kontrolleres særskilt.
Læs også revisors konklusion og eventuelle afvigelser. En kontrol, revisor har fundet afvigelser i, kan ikke bruges som bevis for, at den virker, før afvigelsen er fulgt op.
Den nye NIS 2-skabelon
Revisorernes brancheorganisation, FSR danske revisorer, offentliggjorde den 10. december 2025 en opdateret skabelon til ISAE 3000-erklæringer om NIS 2. Ifølge FSR er den rettet mod forholdet mellem omfattede enheder og deres direkte leverandører og tjenesteudbydere, har færre kontrolaktiviteter end tidligere og ligger tættere på Styrelsen for Samfundssikkerheds vejledning. Eksemplerne på kontrolaktiviteter er vejledende og skal tilpasses risikovurderingen og revisors professionelle vurdering. Skabelonen er til brug for de godkendte revisorer. Hvornår en sådan erklæring er det rigtige produkt frem for en auditrapport, er behandlet i auditrapport eller revisors NIS2-erklæring.
Har jeres virksomhed fået en erklæring efter skabelonen, ligger den tættere på NIS 2-kravene end en klassisk erklæring. Den er dog stadig skrevet til modtagerne, og den er stadig afgrænset til de ydelser, I leverer til dem.
Ifølge styrelsens vejledning om anvendelsesområdet skal NIS 2-enheder ikke nødvendigvis kræve en særlig certificering eller revisionserklæring af deres leverandører. En erklæring er altså noget, I har valgt at give kunderne, og loven stiller ikke krav om den. Hvordan kunderne læser den, er et emne for kundens læsning af leverandørens erklæringer. Forskellen på en erklæring og en auditrapport er forklaret i ISAE 3402, ISAE 3000 eller en auditrapport.
Hvad det kræver, og hvad det koster at lade være
Genbrug kræver, at auditor får hele erklæringen med systembeskrivelse, kontrolmål, test og konklusion, og at nogen i huset kan forklare, hvad der er ændret siden perioden. Selve sammenligningen med § 6 og §§ 7 til 15 tager tid, men mindre end at teste kontrollerne forfra.
Uden genbrug bliver de samme kontroller testet to gange, og jeres folk bruger tid på at finde det samme bevis frem to gange. Genbruger I for meget, får ledelsen en NIS2-audit, der ser dækkende ud, men som ikke har set på interne systemer, ledelsesorganets rolle eller underretningen.
Det skal I lade være med
- At lade erklæringen tale for hele enheden · den dækker de ydelser, den beskriver.
- At bruge kontroller med afvigelser som bevis · følg afvigelsen op først.
- At overse de krav, erklæringer sjældent tester · § 7, registrering og underretning.
Det skal auditten kunne vise
- ☐ En kortlægning af erklæringens kontrolmål mod § 6, stk. 1, nr. 1 til 10.
- ☐ Systemer og afdelinger, erklæringen ikke dækker.
- ☐ Ændringer siden erklæringsperiodens slutning og stikprøver efter den.
- ☐ Revisors afvigelser og opfølgningen på dem.
- ☐ Særskilt kontrol af § 7, registreringen og underretningspligterne.
Kilder
- FSR danske revisorer, Opdateret ISAE 3000-template til NIS 2-erklæringer, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg erklæringens liste over kontrolmål ved siden af de ti punkter i § 6, og farv dem, der ikke har et modstykke.
Læs også: ISO 27001-certifikatet i NIS2-auditten · Driften er outsourcet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
