En auditrapport kan sætte hvert kontrolpunkt på en skala, fx opfyldt, delvist opfyldt eller ikke opfyldt. Skalaen er auditors eget redskab. Den står hverken i NIS 2-loven eller i myndighedens vejledning, og derfor skal rapporten forklare, hvad hvert trin betyder, og hvad det er målt imod.
For en virksomhed omfattet af NIS 2-loven betyder det mere, hvilken slags krav fundet ligger under, end hvilket trin det får. Et fund mod et “skal” i vejledningen har en anden vægt end et fund mod et “bør”.
Skalaen er praksis
Metodekilderne bruger forskellige skalaer. NIST har kun to værdier. En kontrol er enten tilfredsstillende eller “other than satisfied”, og den sidste kan også betyde, at auditor ikke kunne få oplysninger nok. Organisationen kan selv dele den sidste værdi op efter alvor.
Standarderne for intern revision nævner som eksempel en skala i fire trin, fra tilfredsstillende over delvist tilfredsstillende og behov for forbedring til utilfredsstillende. Tre trin som opfyldt, delvist opfyldt og ikke opfyldt ligger midt imellem.
Ingen af skalaerne er rigtigere end de andre. Det, der betyder noget, er, at rapporten definerer trinnene, før fundene bliver sat ind. Ellers kan to auditorer sætte samme forhold på hvert sit trin.
Hvad et fund består af
Et fund er forskellen mellem kriteriet og den faktiske tilstand. Standarderne for intern revision beskriver, at fundet dokumenteres med kriteriet, tilstanden, grundårsagen, hvor den kan findes, virkningen og fundets betydning. Prioriteringen følger sandsynlighed og konsekvens.
NIST lægger vægt på, at fund er en upartisk og faktuel gengivelse af det, der blev fundet, og at det fremgår, hvordan tilstanden afviger fra det forventede. Det gør det muligt at diskutere et fund sagligt. Er I uenige, kan uenigheden føres tilbage til kriteriet, beviset eller tolkningen. Den proces er beskrevet i uenig i et fund.
Koblingen til skal, bør og kan
Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger skelner mellem tre ord. Det, der “skal” implementeres, er krav, som enheden må kunne dokumentere over for myndigheden. Det, der “bør” implementeres, er anbefalinger. Følger enheden dem ikke, skal den kunne forklare hvorfor, ud fra teknologisk stade, omkostninger og risici. Det, der “kan” implementeres, er forslag.
Omsat til klassificering giver det tre slags fund. Et fund mod et “skal” er en mangel i forhold til et krav. Et fund mod et “bør” handler om, hvorvidt fravalget er begrundet og dokumenteret. Har enheden taget dokumenteret stilling, er der ikke en mangel, selv om anbefalingen ikke er fulgt. Et “kan”, der ikke er fulgt, er ikke en mangel.
En god rapport skriver for hvert fund, hvilken af de tre kategorier det tilhører. Uddybningen står i skal, bør og kan.
Delvist opfyldt kræver en forklaring
Trinnet “delvist opfyldt” kræver mest forklaring. FAQ’en til myndighedens kommunetilsyn i 2026 giver et fingerpeg. Er en foranstaltning kun delvist gennemført, skal svaret angive, i hvilken grad den er implementeret, og det skal dække alle enhedens net- og informationssystemer under hensyn til den risikobaserede tilgang. Enheden bør også overveje, om forskellene afspejler en dokumenteret, risikobaseret tilgang.
Vejledningen accepterer nemlig, at beskyttelsen varierer mellem dele af systemerne, hvis risikoen begrunder det. Et forhold, der er gennemført for de kritiske systemer og bevidst ikke for andre, kan derfor være opfyldt. Et forhold, der er gennemført tilfældigt, er delvist opfyldt. Forskellen ligger i, om valget er dokumenteret. Svarmulighederne i tilsynets eget regneark er ikke gengivet her.
Hvad et “ikke opfyldt” udløser
For NIS2-omfattede har et fund mod et krav en direkte følge. § 6, stk. 2, pålægger den enhed, der ikke lever op til kravene, at rette forholdet med korrigerende foranstaltninger uden unødigt ophold. Loven definerer ikke, hvor hurtigt det er. Planlægningen af rettelserne er emnet i fra fund til handlingsplan.
Bruger I samme skala år efter år til at måle fremskridt, er det tættere på en modenhedsvurdering over tid. Klassificeringen af en leverandørs fund set fra kundens side behandles under audit af leverandøren.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at skalaen og dens trin er aftalt før gennemgangen, gerne i opdraget, og at hvert fund angiver kriterium og kategori. Det tager ikke lang tid, men det skal gøres fra start.
Uden en defineret skala bliver rapporten svær at sammenligne fra år til år og svær at forsvare over for en bestyrelse. Et fund, der ikke er knyttet til et krav, kan heller ikke bruges til at prioritere.
Det skal I lade være med
- At acceptere trin uden definitioner · så kan ingen se, hvad “delvist” betyder.
- At regne alle fund for lige vigtige · fund mod krav vejer anderledes end fravalgte anbefalinger.
- At kalde et bevidst, begrundet fravalg en mangel · det er en dokumenteret stillingtagen.
Det skal auditten kunne vise
- ☐ En skala med definerede trin, aftalt før gennemgangen.
- ☐ For hvert fund: kriterium, tilstand, årsag, virkning og prioritet.
- ☐ Om fundet ligger under et “skal”, et “bør” eller et “kan”.
- ☐ For “delvist opfyldt”: hvilke dele der er dækket, og om forskellen er begrundet.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn med kommuner 2026, FAQ, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed auditor om skalaens definitioner, før gennemgangen begynder.
Læs også: Kan ledelsen vælge ikke at rette et fund? · Hvad tæller som bevis i en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
