En efterlevelsesaudit svarer på, om virksomheden opfylder et bestemt sæt krav lige nu. En modenhedsvurdering svarer på, hvor velfunderet sikkerhedsarbejdet er på tværs af områderne, og hvor langt der er til næste trin. De to spørgsmål kræver hver sin metode, men de kan lægges i samme forløb.
Valget er typisk for den mellemstore virksomhed, der er begyndt at arbejde struktureret med sikkerheden. Ledelsen vil gerne vide, om det virker, og nogen udefra, en kunde eller et regelsæt som NIS 2-loven, spørger samtidig, om kravene er opfyldt. Artiklen forklarer forskellen, så I kan bestille det rigtige først.
Efterlevelse: et svar pr. krav
En efterlevelsesaudit tager et kravsæt og går det igennem punkt for punkt. Kravsættet kan være en lov, en kundes kontrakt, et rammeværk eller jeres egen politik. For hvert krav lyder svaret opfyldt, delvist opfyldt eller ikke opfyldt, og hvert svar er bundet til et bevis.
Hvor NIS 2-loven gælder, ligger kravsættet i lovens § 6. Det er vores tolkning, at efterlevelsen af hvert af lovens krav i sidste ende er et spørgsmål med et ja eller et nej, også selv om vejen til svaret kræver en vurdering af, hvad der er passende. Hvordan de vage ord gøres målbare, står i skal, bør og kan.
Styrken er klarheden. En liste over krav, der ikke er opfyldt, kan gå direkte ind i en handlingsplan og vises til den, der stillede kravet.
Modenhed: hvor velfunderet er arbejdet?
En modenhedsvurdering ser på processer og organisering på tværs af områderne. Den spørger, om arbejdet sker tilfældigt og afhænger af enkelte personer, om det er beskrevet og gentages, eller om det måles og forbedres løbende. Skalaen går typisk fra ad hoc til målt og forbedret.
Styrken er retningen. En virksomhed kan opfylde et krav i dag, fordi én dygtig medarbejder holder styr på det. Vurderingen viser, at det står svagt, hvis personen forsvinder. Den giver også et udgangspunkt at måle fremskridt imod næste år.
Hvornår det ene er nok
Efterlevelse først, når nogen udefra har stillet et konkret krav med en frist. Det gælder en kunde, der vil have dokumentation før en kontrakt fornyes, eller en virksomhed, der lige er blevet omfattet af en lov. Der skal der svares på kravet, og et modenhedstal hjælper ikke modtageren.
Modenhed først, når der ikke er et konkret krav, men ledelsen vil vide, hvor indsatsen bør lægges de næste par år. Det passer også, når virksomheden har gennemgået flere audits og kan se, at de samme fund vender tilbage.
Hvorfor de ofte kombineres
Gentagne fund er et tegn på, at det er processerne og ikke de enkelte kontroller, der halter. En efterlevelsesaudit finder hullet, en modenhedsvurdering forklarer, hvorfor det opstod. Det kan aftales i ét opdrag, hvor auditor både vurderer kravene og giver en modenhedsvurdering pr. område.
Bestiller I begge dele, bør opdraget skrive, hvilket kravsæt der bruges til efterlevelsen, og hvilken skala der bruges til modenheden. Ellers kan I ikke sammenligne resultatet med næste gang. Se opdraget på én side og auditkriterier.
Når modenheden skal følges over år
En enkelt modenhedsvurdering er et øjebliksbillede. Skal den bruges til at styre sikkerhedsarbejdet over flere år, med rapportering til bestyrelsen og sammenligning mellem selskaber i en koncern, er det en opgave med egne metoder og rammeværk. Det er beskrevet på sitet om måling af modenhed over tid. Planlægningen af flere audits over en periode står i auditplan og auditprogram.
Hvad hver giver ledelsen
- Hvad måles der imod? · Efterlevelsesaudit: Et konkret kravsæt · Modenhedsvurdering: En skala for, hvor velfunderet arbejdet er
- Hvordan lyder svaret? · Efterlevelsesaudit: Opfyldt, delvist eller ikke opfyldt pr. krav · Modenhedsvurdering: Et niveau pr. område
- Hvem kan bruge det? · Efterlevelsesaudit: Den, der stillede kravet, og ledelsen · Modenhedsvurdering: Ledelsen og bestyrelsen
- Hvad viser det over tid? · Efterlevelsesaudit: Om hullerne er lukket · Modenhedsvurdering: Om fundamentet bliver stærkere
Hvad det kræver, og hvad det koster at lade være
En efterlevelsesaudit kræver, at kravsættet er kendt, og at der findes bevis for hvert krav. En modenhedsvurdering kræver interviews med dem, der udfører processerne, og adgang til det, der viser, hvordan arbejdet faktisk sker. Kombineret tager det lidt længere tid end hver for sig, men interviews og dokumenter genbruges.
Vælger I kun efterlevelse år efter år, kan I lukke de samme huller igen og igen uden at se, at årsagen ligger i processerne. Vælger I kun modenhed, kan I stå uden svar, når en kunde eller et tilsyn spørger, om et konkret krav er opfyldt.
Det skal I lade være med
- At svare en kunde med et modenhedsniveau · kunden spurgte til et krav.
- At skifte skala fra gang til gang · så kan fremskridtet ikke måles.
- At overse gentagne fund · de peger på processen bag kontrollen.
Det skal auditten kunne vise
- ☐ Hvilket kravsæt efterlevelsen er målt imod.
- ☐ Hvilken modenhedsskala der er brugt, og hvordan niveauerne er defineret.
- ☐ Bevis bag hvert svar om efterlevelse.
- ☐ Fund, der går igen fra tidligere audits, og hvad de siger om processerne.
Kilder
- Retsinformation, Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Teknisk gennemgang eller audit af styringen · Hvad indgår i en sikkerhedsaudit
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
