I en NIS2-audit har ledelsen to roller. Som interviewperson skal den selv kunne forklare, hvordan den har godkendt foranstaltningerne og fører tilsyn med dem efter § 7 i NIS 2-loven. Som modtager tager den imod rapporten og beslutter, hvad der skal ske med fundene. Ingen af rollerne kan overlades til IT-afdelingen.
Det skyldes, at lovens krav på dette punkt er rettet mod det organ, der har ansvaret.
Hvem ledelsen er
Loven taler om ledelsesorganet. Har selskabet en bestyrelse ved siden af direktionen, er ledelsesorganet bestyrelsen. Findes der kun en direktion, er det den. Det fremgår af lovens definitioner og gengives i Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle.
Ledelsesorganet kan uddelegere opgaver til et udvalg, fx et sikkerhedsudvalg eller et revisionsudvalg. Ansvaret bliver dog hos hele ledelsesorganet, som ifølge vejledningen bør holde øje med, at udvalget gør sit arbejde. Auditor vil derfor gerne tale med både udvalget og ledelsesorganet.
Består virksomheden af flere omfattede selskaber, er hvert selskab sin egen enhed med sit eget ledelsesorgan. Rapporten bør derfor sige, hvilke ledelsesorganer auditor har talt med, og for hvilke selskaber.
Hvad ledelsen selv skal kunne svare på
Ledelsesorganet godkender foranstaltningerne efter § 6 og holder tilsyn med gennemførelsen (§ 7, stk. 1). Vejledningen tilføjer, at ledelsen også har ansvaret for, at foranstaltningerne virker efter hensigten, og at den på et overordnet og strategisk niveau skal beslutte, hvornår beskyttelsen er tilstrækkelig.
I et interview kan auditor derfor spørge til ting som
- hvornår og hvordan foranstaltningerne blev godkendt, og hvad der lå til grund,
- hvilken rapportering ledelsen modtager, hvor ofte og fra hvem,
- hvilke beslutninger ledelsen har truffet på baggrund af rapporteringen,
- hvilke risici der er accepteret, og hvem der har accepteret dem,
- hvilke kurser medlemmerne har deltaget i.
Spørgsmålene er eksempler. De følger lovens krav, og svarene bør kunne vises på papir. Sporet efter godkendelsen, med referat, bilag og dato, er beskrevet i sporet efter ledelsens godkendelse.
Risikoejeren og restrisikoen
Ifølge myndighedens vejledning om cybersikkerhedsforanstaltninger skal risikoejeren acceptere risikovurderingens resultat, den planlagte håndtering og den restrisiko, der er tilbage. Ledelsesorganet skal have passende rapportering om det. I det spørgeskema, styrelsen stillede kommunerne i maj 2026, spørges der netop til, om ledelsesorganet modtager den rapportering, herunder risikoejerens accept.
For auditten betyder det, at ledelsen bør kunne vise, at den har fået rapporteringen, og hvad den gjorde med den. Hvad der sker, når en risiko ikke har en ejer, står i foranstaltninger uden ejer.
Kurserne
Ledelsesorganets medlemmer har efter § 7, stk. 2, pligt til at følge relevante kurser. Deltagelsen skal ifølge vejledningen om ledelsens rolle kunne vises, fx med et kursusbevis eller en deltagerbekræftelse. Auditor vil spørge efter dokumentationen og måske efter, hvad kurset handlede om. Emnet er uddybet i ledelsens kurser som auditpunkt.
Ledelsen som modtager
Vejledningen nævner flere måder, ledelsen kan føre tilsyn på. Periodiske ledelsesrapporter er én. En intern revisionsfunktion med rapportering til ledelsen er en anden. En tredje er en ekstern gennemgang af NIS 2-kravene, hvis resultater går til ledelsen. Vejledningen kalder det ekstern revision. Ordet dækker her en ekstern gennemgang og har ikke revisorlovens betydning.
En auditrapport, der går direkte til ledelsesorganet, er altså et redskab i tilsynet. Det forudsætter, at ledelsen læser den, drøfter den og træffer beslutninger på den. Et referat, der viser det, er selv et bevis på tilsyn. Hvordan bestyrelsen læser rapporten, står i bestyrelsen læser auditrapporten.
Rapporten kan ikke erstatte ledelsens egen stillingtagen. Det er ledelsesorganet, der beslutter, om fundene skal rettes, og hvordan. Står en enhed med mangler, kræver § 6, stk. 2, korrigerende foranstaltninger uden unødigt ophold.
Forberedelse for ledelsen
- Gennemgå de seneste referater, hvor foranstaltningerne og rapporteringen er behandlet.
- Find kursusbeviserne frem.
- Afklar, hvem fra ledelsen der interviewes, og hvem der svarer for et eventuelt udvalg.
- Aftal, hvordan rapporten præsenteres, og hvornår den behandles på et møde.
Skal rapporteringen til ledelsen udvikles over flere år, så bestyrelsen kan følge fremgangen, er det et emne for rapportering om sikkerhedsmodenhed.
Hvad det kræver, og hvad det koster at lade være
I selve auditten bruger ledelsen forholdsvis lidt tid. Til gengæld skal referater, beslutninger og kursusbeviser findes, og et medlem af ledelsen skal kunne forklare dem.
Kan ledelsen ikke svare, eller findes sporet ikke, bliver det et fund om ledelsens godkendelse og tilsyn. Det er et fund, der rammer ansvaret for hele området, og det kan IT-afdelingen ikke rette alene.
Det skal I lade være med
- At sende IT-chefen i stedet for ledelsen · kravene i § 7 gælder ledelsesorganet.
- At lade rapporten gå uden om ledelsen · den er et redskab i ledelsens tilsyn.
- At glemme dokumentationen for kurserne · deltagelsen skal kunne vises.
Det skal auditten kunne vise
- ☐ Ledelsesorganets godkendelse af foranstaltningerne med dato.
- ☐ Rapportering til ledelsen om risiko, restrisiko og risikoejerens accept.
- ☐ Beslutninger truffet på grundlag af rapporteringen.
- ☐ Kursusbevis eller bekræftelse på deltagelse for hvert medlem.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 1-5, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026 (19. maj 2026), spørgsmål 1.B.6 og 1.B.7, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Interviews i auditten · Auditrapporten som dokumentation for tilsyn
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
