Nej. NIS 2-loven kræver ingen ekstern audit af en omfattet virksomhed. Til gengæld skal I selv have en fast måde at efterprøve jeres foranstaltninger på, ledelsesorganet skal holde øje med dem, og myndigheden har hjemmel til at pålægge en audit.
Spørgsmålet “kræver nis2 audit” har derfor tre svar. Det, loven kræver hele tiden. Det, myndigheden kan kræve i en konkret sag. Og det, der i praksis er nemmest at vise, når nogen spørger.
Det, loven kræver hele tiden
To bestemmelser ligner audit uden at bruge ordet. Den første er § 6, stk. 1, nr. 6. Her skal foranstaltningerne rumme politikker og procedurer, der vurderer, om risikostyringen faktisk har effekt. Lovbemærkningerne, som de er citeret i Styrelsen for Samfundssikkerheds vejledning, nævner sårbarhedsscanninger og penetrationstest som eksempler på tekniske test, hvis behov skal vurderes.
Den anden er § 7, stk. 1. Ledelsesorganet skal godkende foranstaltningerne og føre tilsyn med, at de bliver gennemført. Hvordan det tilsyn kan foregå, beskriver styrelsens vejledning om ledelsens rolle. Intern og ekstern revision står blandt eksemplerne, sammen med periodiske rapporter til ledelsen.
Vejledningen om foranstaltningerne kræver ikke, at effektivitetsvurderingen udføres af en ekstern eller uafhængig. En audit er én måde at opfylde kravet på. Det er en tolkning, og andre metoder kan også bære, hvis de er beskrevet og bliver fulgt. Kravet i nr. 6 er gennemgået i effektivitetsvurderingen.
Det, myndigheden kan kræve
Ordet sikkerhedsaudit står i lovens kapitel om tilsyn. Hos en væsentlig enhed må den kompetente myndighed selv gennemføre regelmæssige og målrettede audits. Den må også bestemme, at enheden skal bruge et kvalificeret uafhængigt organ og give myndigheden resultaterne. Hjemlen er i § 21, stk. 1, nr. 2. Hos en vigtig enhed kræver det først indikationer på, at loven ikke overholdes, og her taler loven alene om målrettede audits. Hjemlen er i § 24, stk. 1, nr. 2.
Myndigheden kan også påbyde, at anbefalinger fra en gennemført sikkerhedsaudit bliver gennemført (§ 22, nr. 6, og § 25, nr. 5). Følger enheden ikke en sådan afgørelse om audit, kan det give bøde efter § 32, stk. 1, nr. 4.
Hvem der vælger og betaler det uafhængige organ, og hvad der ligger i ordet kvalificeret, er beskrevet i pålagt sikkerhedsaudit. Hvorfor tilsynet er forskelligt for de to kategorier, står i artiklen om kategorierne.
En gruppe har strengere regler
Udbydere af blandt andet cloud, datacentre, administrerede tjenester og administrerede sikkerhedstjenester er omfattet af gennemførelsesforordning (EU) 2024/2690. Forordningen kræver uafhængige gennemgange af deres sikkerhed (bilaget, punkt 2.3). For dem er spørgsmålet altså besvaret med et ja. De øvrige enheder kan bruge forordningen som målestok, som beskrevet i forordning 2024/2690 som målestok.
Hvorfor mange alligevel vælger en audit
Når loven ikke kræver det, er en frivillig audit et valg. Tre grunde går igen, og alle er praktiske vurderinger frem for lovkrav.
Ledelsesorganet skal kunne vise, at det har ført tilsyn. En rapport fra en uafhængig, der er drøftet i bestyrelsen og fulgt op, er et tydeligt spor.
Effektivitetsvurderingen skal have en form. En audit med faste kriterier og dokumenteret bevis er én af de former, der er lettest at forklare over for tilsynet.
Og kommer myndigheden, er det lettere at svare, når materialet allerede er samlet og gennemgået af en udenforstående.
Der er også situationer, hvor en audit ikke er næste skridt. Er risikovurdering og politik endnu ikke på plads, er det dem, der skal laves først. En audit på et tomt grundlag dokumenterer kun, at grundlaget mangler.
Hvad det kræver, og hvad det koster at lade være
At opfylde nr. 6 kræver en skriftlig politik for, hvordan I vurderer foranstaltningerne, hvem der gør det, og hvordan ineffektive foranstaltninger følges op. Om vurderingen er intern eller ekstern, er jeres eget valg.
Lader I kravet ligge, fordi loven ikke nævner audit, mangler der en foranstaltning, loven faktisk nævner. Overtrædelse af § 6, stk. 1, kan straffes med bøde (§ 32, stk. 1, nr. 1), og ledelsesorganet står uden grundlag for sit tilsyn.
Det skal I lade være med
- At sige, at loven kræver en ekstern audit · det gør den ikke.
- At læse fraværet af ordet som fravær af krav · nr. 6 og § 7 kræver vurdering og tilsyn.
- At vente på, at myndigheden pålægger auditten · så er det myndigheden, der fastlægger rammen.
Det skal auditten kunne vise
- ☐ Politikken for vurdering af foranstaltningernes effektivitet, med ansvarlig.
- ☐ Ledelsesorganets tilsyn: hvad det har modtaget, og hvornår.
- ☐ Om enheden er væsentlig eller vigtig, og hvad det betyder for tilsynet.
- ☐ Om enheden er omfattet af forordning 2024/2690 og dens krav om uafhængig gennemgang.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres politik for effektivitetsvurdering frem, og se efter, om den siger, hvem der vurderer.
Læs også: Audit og tilsyn · Hvad er en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
