Et ISO 27001-certifikat er et godt udgangspunkt for en NIS2-audit, fordi meget af dokumentationen allerede findes og har været gennemgået. Det dækker dog kun det anvendelsesområde, der står på certifikatet, og flere af NIS 2-lovens krav skal kontrolleres særskilt.
Sammenligningen nedenfor er lavet mellem loven og Styrelsen for Samfundssikkerheds vejledninger. Standardens egen tekst er ikke gengivet. Derfor er formuleringen “skal kontrolleres særskilt” valgt frem for at påstå, hvad standarden ikke dækker.
Hvad standarden er i denne sammenhæng
ISO/IEC 27001 er en international standard for ledelsessystemer for informationssikkerhed, udgivet af ISO og IEC. Den danske udgave hedder DS/EN ISO/IEC 27001:2023 og er den, styrelsens vejledning henviser til. En virksomhed kan lade sig certificere af et certificeringsorgan, og certifikatet angiver et anvendelsesområde.
Tjek årstallet på certifikatet. Efter IAF’s regler for overgangen til 2022-udgaven skulle certificerede virksomheder være overgået senest 31. oktober 2025, og certifikater efter 2013-udgaven udløb eller blev trukket tilbage ved periodens udløb. Et certifikat, der stadig henviser til ISO/IEC 27001:2013, er derfor ikke længere gyldigt.
Vejledningen om foranstaltningerne henviser under de fleste kapitler til afsnit i standarden. Den gør også klart, at arbejdet efter en standard støtter efterlevelsen uden at bevise den. Henvisningerne er gennemgået i standardhenvisningerne i vejledningen.
Første kontrol: anvendelsesområdet
Et certifikat kan dække en del af virksomheden, fx én afdeling, én lokation eller de ydelser, der leveres til kunder. NIS 2-loven omfatter hele enheden. Vejledningen om anvendelsesområdet trækker ingen grænse ved et certifikat. Hele enheden er med, også de forretningsområder, der ikke selv er nævnt i lovens bilag.
Første skridt i auditten er derfor at lægge certifikatets anvendelsesområde ved siden af listen over systemer og afdelinger i hele CVR-nummeret. Det, der ligger udenfor, skal vurderes i auditten på samme måde som hos en virksomhed uden certifikat. Reglen om, at hele enheden tæller, har sin egen artikel.
Anden kontrol: anvendelseserklæringen
I et ISO 27001-system vælger virksomheden de kontroller, den bruger, og begrunder fravalg i en anvendelseserklæring (Statement of Applicability). Den kan holdes op mod de ti punkter i lovens § 6, stk. 1, og mod de punkter i vejledningen, der står som skal eller bør.
Hvor en kontrol er fravalgt i anvendelseserklæringen, og vejledningen har et skal på samme område, er der et spørgsmål til auditten. Hvor vejledningen har et bør, er spørgsmålet, om begrundelsen for fravalget også holder over for de hensyn, NIS 2-vejledningen nævner. At holde de to dokumenter op mod hinanden er praksis, men det er den mest direkte vej.
Fire områder, der kontrolleres særskilt
Fire områder har et særligt indhold i NIS 2-loven og vejledningerne, som en certificering efter kilderne her ikke giver svar på af sig selv.
Underretningen. Efter §§ 12 og 13 går der et døgn til den første varsling, tre døgn til selve underretningen og en måned til den afsluttende rapport. § 15 kræver, at modtagerne af tjenesterne underrettes. Fristerne, modtagerne og vejen via virk.dk skal kontrolleres som deres eget punkt, fx som i audit af varsling og rapportering.
Registreringen. §§ 9 og 10 kræver bestemte oplysninger registreret og ændringer meldt inden for en frist.
Ledelsesorganet. § 7 kræver, at ledelsesorganet godkender foranstaltningerne, fører tilsyn og deltager i kurser. Ledelsesorganet er defineret i lovens § 3, nr. 20 og er typisk bestyrelsen, hvor der er en. Det er ikke nødvendigvis den ledelse, et ledelsessystem er bygget op om. Kurserne har deres eget kontrolpunkt, beskrevet i ledelsesorganets kurser.
Risikovurderingens målestok. Vejledningen om foranstaltningerne siger, at risikovurderingen efter loven skal se på de samfundsmæssige og økonomiske skader, en hændelse kan give, og at det afviger fra en mere traditionel betragtning af risikoappetit ud fra virksomhedens egen økonomi og omdømme. En risikometode bygget til virksomhedens egne aktiver bør efterprøves på det punkt. Se audit af risikovurderingen.
Brug den interne audit
Et certificeret system har en intern audit og en ledelsens evaluering. Begge kan bruges som bevis i NIS2-auditten, især for effektivitetsvurderingen i § 6, stk. 1, nr. 6 og for ledelsens tilsyn. Kontrollér, at rapporterne faktisk er nået til ledelsesorganet. Den virksomhed, der bruger standarden som målestok for modenheden over tid, kan bygge videre på samme materiale.
Hvad det kræver, og hvad det koster at lade være
At genbruge certificeringen kræver certifikatet med anvendelsesområde, anvendelseserklæringen, seneste interne audit og rapporten fra certificeringsorganet. Kortlægningen mod § 6 og de fire særskilte områder er det arbejde, der skal gøres.
Lader I certifikatet stå for det hele, kan ledelsen tro, at NIS 2-arbejdet er klaret. Tilsynet vil spørge til underretning, registrering og ledelsesorganets rolle uanset certifikatet, og de afdelinger, der lå uden for anvendelsesområdet, er lige så omfattet som resten.
Det skal I lade være med
- At læse certifikatet som en NIS2-attest · vejledningen siger selv, at en standard ikke sikrer opfyldelse.
- At glemme det, der ligger uden for anvendelsesområdet · hele enheden er omfattet.
- At antage, at ledelsessystemets ledelse er ledelsesorganet · § 3, nr. 20 afgør det.
Det skal auditten kunne vise
- ☐ Certifikatets anvendelsesområde holdt op mod alle systemer i CVR-nummeret.
- ☐ En kortlægning, der viser anvendelseserklæringens kontroller ud for lovens ti foranstaltninger.
- ☐ Særskilt kontrol af underretning, registrering, § 7 og risikovurderingens målestok.
- ☐ Interne auditrapporter og ledelsens evaluering, og at de er nået til ledelsesorganet.
Kilder
- IAF, MD 26:2023 Transition Requirements for ISO/IEC 27001:2022, udgave 2 (15. januar 2023), https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg certifikatets anvendelsesområde ved siden af jeres systemliste, og markér det, der ligger udenfor.
Læs også: I har en ISAE-erklæring · Hvad en NIS2-audit ikke kan bevise
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
