NIS 2-loven lader myndigheden møde op hos en væsentlig enhed uden retskendelse, mod behørig legitimation og med mulighed for stikprøver. Hos en vigtig enhed forudsætter et besøg, at der er tegn på manglende overholdelse.
Hvem der tager imod, og hvad der vises frem, står ikke i loven. Det er jeres egen tilrettelæggelse, og den kan øves på samme måde som en audit.
Lovteksten
§ 21, stk. 1, nr. 1, giver myndigheden ret til kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, hos væsentlige enheder. § 24, stk. 1, nr. 1, giver ret til kontrol på stedet og efterfølgende eksternt tilsyn hos vigtige enheder, når der er indikationer på manglende overholdelse.
Bemærkningerne forklarer, at “på stedet” er enhedens lokaler og arbejdssteder uden for lokalerne. Myndigheden kan kontrollere til enhver tid. Det forudsættes dog almindeligvis, at den varsler en væsentlig enhed før et besøg. Eksternt efterfølgende tilsyn forstås som tilsyn uden fysisk tilstedeværelse, fx på skriftligt grundlag.
At hindre tilsyn efter § 21, stk. 1, nr. 1-4, eller § 24, stk. 1, nr. 1-3, straffes med bøde (§ 32, stk. 1, nr. 5).
Hvem tager imod?
Et besøg begynder i receptionen eller ved porten. Den, der står der, skal vide, hvem der kontaktes, og hvordan legitimationen kontrolleres. Det lyder banalt, men på en produktionsplads med skiftehold eller et lager med flere indgange er det ikke givet.
Udpeg en primær og en stedfortræder. Begge skal kende jeres dokumentation godt nok til at finde den og have mandat til at give adgang til systemer, rum og personer. Ingen af dem bør være den eneste, der kan låse et serverrum op.
Bemærkningerne vurderer, at retten til ikke at inkriminere sig selv gælder ved tilsynsforanstaltningerne, mens faktuelle oplysninger kan kræves. Hvad det betyder i en konkret situation, er en juridisk vurdering. Overvej, om en advokat skal kunne kontaktes samme dag.
Hvad vises frem?
Hvad myndigheden spørger efter ved et besøg, kan ikke forudsiges. Men det, der kan forberedes, er det samme, en auditor ville bede om:
- Godkendte politikker og procedurer for de ti foranstaltninger i § 6.
- Risikovurderingen og ledelsesorganets godkendelse efter § 7.
- Aktivregistret, så en stikprøve kan trækkes. Se aktivregistret.
- Logs fra udvalgte systemer og bevis for, at de bliver gennemgået.
- Fysisk adgangskontrol til serverrum og tekniske rum, beskrevet i fysisk adgang i NIS2-auditten.
- Seneste gendannelsestest og øvelse.
Hvordan materialet afleveres, så der er styr på, hvad der er givet til hvem, er beskrevet i aflevering af bevis.
Et tænkt besøg som øvelse
Det følgende er en auditmetode og ikke et lovkrav. Bed en auditor eller en kollega uden for IT om at spille myndigheden en formiddag uden lang forberedelse. Tænkt eksempel: “auditor” møder op ved varemodtagelsen, beder om at se adgangen til serverrummet og vælger tre tilfældige medarbejdere for at se, hvornår deres adgange sidst blev gennemgået.
Øvelsen giver svar på praktiske spørgsmål. Fandt receptionen den rigtige person? Lå dokumenterne, hvor de skulle? Kunne adgangsgennemgangen findes, og var den dateret? Gik der en time eller en dag, før svarene var der?
Resultatet skrives ned som fund med ejer og frist på samme måde som i en almindelig audit. Hvordan en gennemgang på stedet adskiller sig fra en gennemgang på afstand, står i på stedet eller på afstand.
Flere lokationer
Har virksomheden flere adresser, omfatter “på stedet” mere end hovedkontoret. Bemærkningerne nævner også arbejdssteder uden for lokalerne. En lagerbygning, et værksted eller et lejet rack i et datacenter kan være stedet, myndigheden vil se. Øvelsen bør derfor ikke altid foregå samme sted.
Efter besøget
Det følgende er praksis. Skriv samme dag ned, hvem der var til stede, hvad der blev spurgt om, og hvad der blev vist eller udleveret. Har myndigheden bedt om noget, der skal eftersendes, får det en ejer og en frist. Notatet bruges, hvis myndigheden kommer med en afgørelse, og når I evaluerer, om forberedelsen holdt.
Hvad det kræver, og hvad det koster at lade være
Forberedelsen kræver en kontaktliste, to personer med mandat og en dokumentation, der kan findes uden at spørge den, der skrev den. Øvelsen kræver en halv eller en hel dag.
Uden forberedelse kan et besøg trække ud og forstyrre driften mere end nødvendigt. Kan materialet ikke findes, mens myndigheden er der, bliver det et spørgsmål til skriftligt svar bagefter. Det giver mere arbejde og et indtryk, I ikke selv har valgt.
Det skal I lade være med
- At lade receptionen gætte, hvem der skal kontaktes · skriv navnene ned, også stedfortræderen.
- At øve med fuld forvarsel · lang varsel giver et pænere billede end hverdagen.
- At glemme lokationerne uden for hovedkontoret · myndigheden kan vælge dem.
Det skal auditten kunne vise
- ☐ En kontaktliste for tilsynsbesøg med primær og stedfortræder.
- ☐ Hvem der kan beslutte at åbne rum og systemer og stille medarbejdere til rådighed for tilsynet.
- ☐ Resultatet af en øvelse med fund, ejer og frist.
- ☐ En oversigt over lokationer, hvor net- og informationssystemer findes.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21, 24 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 21, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Øvelser som bevis · Stikprøver i audit
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
