NIS 2-loven kræver, at medlemmerne af ledelsesorganet deltager i relevante kurser. Ifølge styrelsens vejledning til ledelsen er der hverken krav til kursernes form eller indhold, og at det er ledelsesorganet som helhed, der skal have de fornødne kompetencer.
De to tekster trækker lidt i hver sin retning. En audit kan vise begge og lade jer se, hvor I står i forhold til hver. Hvordan forskellen skal forstås, er ikke audittens opgave at afgøre.
Lovteksten
§ 7, stk. 2, siger, at medlemmerne af ledelsesorganet skal deltage i relevante kurser og tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte.
Ledelsesorganet er defineret i § 3, nr. 20. I et selskab med direktion og bestyrelse er det bestyrelsen. Med kun direktion er det direktionen. Med direktion og tilsynsråd er det direktionen. For virksomheder uden bestyrelse og direktion er det det organ, der har tilsvarende kompetence. Vejledningen om ledelsens rolle siger, at enheden selv vurderer, hvilken lov om virksomhedsformen der gælder.
Vejledningen
Vejledningen om ledelsens rolle og opgaver (1. udgave maj 2025) uddyber kravet i kapitel 5. Der er ikke et specifikt form- og indholdskrav til kurserne. Kurserne skal gøre ledelsen i stand til at vurdere risici og beslutte om og følge op på foranstaltningerne.
Vejledningen skriver også, at det ikke er et krav, at alle eller et bestemt antal medlemmer af ledelsesorganet har gennemført kurser, men at ledelsesorganet som kollektiv skal have de fornødne kompetencer. Som eksempler nævner den generelle kurser, ledelseskurser og workshops, kurser i anerkendte standarder og interne kurser og seminarer.
Dokumentationen er nævnt direkte. Vejledningen kræver, at uddannelsen kan dokumenteres, og nævner kursusbevis og bekræftelse på deltagelse som eksempler.
Trafikstyrelsens korte vejledning til transportvirksomheder (juni 2025) skriver ligeledes, at der ikke er specifikke form- og indholdskrav, og at ledelsesorganet som helhed skal kunne vurdere risici.
To tekster, der skal læses sammen
Lovteksten taler om medlemmerne. Vejledningen taler om kollektivet og siger, at det ikke er et krav, at alle har gennemført kurser. Forskellen er der, og denne artikel tolker den ikke.
For en audit betyder det, at rapporten kan beskrive to forhold hver for sig. Hvilke medlemmer har deltaget i hvilke kurser? Og hvordan har ledelsesorganet vurderet sin samlede kompetence? Hvordan forskellen mellem lov og vejledning skal håndteres i jeres tilfælde, er et spørgsmål for ledelsesorganet selv og eventuelt en jurist.
Sådan efterprøver en audit kurserne
Fremgangsmåden er praksis.
Oversigten. Auditor beder om en oversigt over ledelsesorganets medlemmer og de kurser, hver har deltaget i, med dato. Nye medlemmer siden sidste opgørelse er et naturligt fokus.
Beviserne. For hvert kursus ser auditor efter kursusbevis eller bekræftelse på deltagelse, som vejledningen nævner. En kalenderinvitation er et svagere bevis, fordi den viser en aftale og ikke en deltagelse. Bevisbegrebet i en NIS2-audit er uddybet i artiklen om, hvad der tæller som bevis.
Indholdet. Uden form- og indholdskrav er målestokken vejledningens formål. Gør kurset ledelsen i stand til at vurdere risici og beslutte om og følge op på foranstaltningerne? Auditor kan bede om program eller materiale og vurdere, om det handler om det.
Den samlede kompetence. Auditor spørger, om ledelsesorganet har vurderet sin kompetence som helhed, og hvor vurderingen står. Et referat fra et møde, hvor emnet er drøftet, er et brugbart spor. Se sporet efter ledelsesorganets godkendelse.
Sammenhængen med arbejdet. Et mere overbevisende tegn på kompetence er, at ledelsesorganet faktisk har godkendt foranstaltningerne og ført tilsyn efter § 7, stk. 1. Det står i ledelsens rolle i auditten.
De øvrige ansatte
§ 7, stk. 2, beder også ledelsesorganet tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte. Vejledningen om ledelsens rolle siger i kapitel 6, at kravet ikke går videre end § 6, stk. 1, nr. 7, om cyberhygiejne og uddannelse. Den del af auditten står i audit af cyberhygiejne og uddannelse.
Hvad det kræver, og hvad det koster at lade være
Dokumentationen kræver en enkel oversigt over medlemmer, kurser og datoer og en mappe med beviserne. Vurderingen af den samlede kompetence kan tages som et punkt på et bestyrelses- eller direktionsmøde én gang om året. Det er et lille arbejde, når det først er sat i system.
Uden oversigten kan I ikke vise tilsynet, at ledelsen har deltaget. Uden vurderingen af den samlede kompetence mangler I svaret på det, vejledningen lægger vægt på.
Det skal I lade være med
- At læse “ingen formkrav” som “ingen dokumentation” · deltagelsen skal efter vejledningen kunne dokumenteres.
- At regne én enkelt kursusdag for varig kompetence · nye medlemmer og nye risici ændrer billedet.
- At lade auditten afgøre forskellen mellem lov og vejledning · det er ledelsesorganets eget spørgsmål.
Det skal auditten kunne vise
- ☐ En oversigt over ledelsesorganets medlemmer og deres kurser med dato.
- ☐ Kursusbeviser eller bekræftelser på deltagelse.
- ☐ Program eller materiale, der viser, at kurserne handler om at vurdere risici og følge op på foranstaltninger.
- ☐ Ledelsesorganets egen vurdering af den samlede kompetence.
- ☐ Spor af, at ledelsesorganet har tilskyndet til kurser for de øvrige ansatte.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 3, nr. 20, og § 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 5 og 6, læst 12. november 2026.
- Trafikstyrelsen, Sådan bliver din transportvirksomhed klar til NIS2, juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav oversigten over ledelsesorganets medlemmer og deres kurser, og se, hvem der er kommet til siden sidst.
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Tilsynsperson, offentliggørelse og midlertidigt ledelsesforbud
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
