Efter punkt 3.4 i forordningens bilag vurderer en digital enhed mistænkelige begivenheder efter foruddefinerede kriterier og hvert kvartal vurderer, om små hændelser gentager sig. Punkt 3.6 kræver, at hændelser, hvor det er relevant, gennemgås efter afhjælpningen, så den grundlæggende årsag afdækkes og erfaringerne dokumenteres.
De to punkter er begyndelsen og slutningen af en hændelse. Det ene afgør, om en begivenhed er en hændelse, og hvor alvorlig den er. Det andet sørger for, at enheden lærer af den. Auditten ser på begge og på sammenhængen mellem dem.
Punkt 3.4: klassifikation
Efter punkt 3.4.1 vurderer enheden mistænkelige begivenheder efter kriterier, der er fastlagt på forhånd.
Punkt 3.4.2 beskriver, hvad vurderingen bygger på. Relevante logfiler gennemgås. Der er en procedure for korrelation og analyse af logfiler. En begivenhed omklassificeres, når der kommer nye oplysninger. Og hvert kvartal vurderes forekomsten af tilbagevendende hændelser efter forordningens artikel 4.
Det kvartalsvise interval er et af de få faste intervaller i bilaget. Artikel 4 lægger små hændelser sammen. Sker de igen og igen inden for et halvt år med den samme åbenlyse årsag, og når de tilsammen op over tabskriteriet, er de én væsentlig hændelse. Kriterierne er beskrevet i væsentlig hændelse efter forordningen.
Punkt 3.6: gennemgang efter hændelsen
Efter punkt 3.6.1 gennemgår enheden, hvor det er relevant, hændelser efter afhjælpningen. Gennemgangene skal, hvor det er muligt, afdække den grundlæggende årsag til hændelsen og resultere i dokumenterede erfaringer.
Punkt 3.6.2 siger, at gennemgangene skal bidrage til at forbedre tilgangen til sikkerheden, risikobehandlingen og procedurerne.
Punkt 3.6.3 er det punkt, der oftest overses. Med planlagte mellemrum gennemgår enheden, om hændelser afstedkom gennemgange efter hændelsen. Det er en kontrol af selve kontrollen.
Koblingen til loven
For en enhed under dansk jurisdiktion følger underretningen NIS 2-lovens §§ 12 og 13. Den endelige rapport efter § 13, stk. 1, nr. 4, skal oplyse, hvilken slags trussel eller grundårsag der formentlig satte hændelsen i gang (forenklet gengivet).
Gennemgangen efter punkt 3.6 og den endelige rapport efter § 13 handler altså om det samme spørgsmål. En enhed, der har en god proces for grundårsager, har lettere ved at skrive slutrapporten. Det er en praktisk iagttagelse og ikke et krav om, at de to skal være samme dokument.
Sådan prøver auditor punkt 3.4
Her er tale om almindelig praksis i en audit.
Kriterierne, der er fastlagt på forhånd, er det første, auditor vil se, og de skal kunne bruges i praksis. Står der kun “alvorlig” og “ikke alvorlig” uden beskrivelse, kan to vagter vurdere samme begivenhed forskelligt.
Dernæst vælger auditor nogle begivenheder fra hændelsessystemet og ser efter, hvordan de blev klassificeret, om klassifikationen fulgte kriterierne, og om de blev omklassificeret, da der kom mere viden.
For den kvartalsvise vurdering beder auditor om dokumentationen for de fire seneste kvartaler. Et kort notat pr. kvartal, der viser, hvilke hændelser der er set på, og hvad konklusionen blev, er tilstrækkeligt bevis. Mangler et kvartal, er det et fund.
Sådan prøver auditor punkt 3.6
Auditor vælger nogle hændelser, der er lukket, og spørger efter gennemgangen. Findes den, ser auditor efter, om der er en grundårsag, og om erfaringen har ført til en ændring i risikobehandlingen eller procedurerne. En gennemgang, der ender med “vi skal være mere opmærksomme”, giver ikke meget at følge op på.
Til sidst ser auditor efter den periodiske kontrol efter 3.6.3. Hvem har kontrolleret, at hændelserne fik en gennemgang, og hvornår?
Hændelseshåndteringen som helhed efter lovens § 6 er beskrevet i audit af hændelseshåndteringen.
Hvor underretningen begynder
Klassifikationen er også stedet, hvor pligten til at underrette begynder. En begivenhed, der klassificeres for lavt, når aldrig frem til den, der beslutter om underretning efter lovens § 12. Auditor ser derfor efter, om kriterierne for klassifikation peger videre til forordningens kriterier for væsentlige hændelser, så de to vurderinger hænger sammen. Koblingen er god praksis og ikke et krav i bilaget.
Hvad det kræver, og hvad det koster at lade være
Det kræver skrevne kriterier for klassifikation, et fast punkt hvert kvartal til vurderingen af tilbagevendende hændelser og en skabelon til gennemgangen efter hændelsen med plads til grundårsag og handling. Den, der leder hændelseshåndteringen, ejer typisk alle tre.
Uden den kvartalsvise vurdering kan en række små hændelser vokse til en væsentlig hændelse, uden at nogen opdager det, og så kommer underretningen for sent. Uden gennemgangene gentager de samme fejl sig.
Det skal I lade være med
- At klassificere efter mavefornemmelse · punkt 3.4.1 kræver foruddefinerede kriterier.
- At springe et kvartal over · intervallet står i punkt 3.4.2, litra b.
- At lukke en hændelse uden grundårsag, hvor den kunne findes · punkt 3.6.1 kræver det, hvor det er muligt.
Det skal auditten kunne vise
- ☐ Skrevne kriterier for klassifikation af begivenheder.
- ☐ Klassificerede begivenheder i stikprøverne og spor af omklassificering.
- ☐ Et notat for hvert af de seneste fire kvartaler om tilbagevendende hændelser.
- ☐ Gennemgange efter hændelser med grundårsag og dokumenterede erfaringer.
- ☐ Ændringer i procedurer eller risikobehandling, der kan spores til gennemgangene.
- ☐ Den periodiske kontrol af, at hændelserne blev gennemgået.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 4 og bilaget punkt 3.4 og 3.6, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find notatet fra jeres seneste kvartalsvise vurdering af tilbagevendende hændelser. Findes det ikke, så lav det for indeværende kvartal.
Læs også: Efter en væsentlig hændelse · Følg én sag fra start til slut
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
