Forordning 2024/2690 kræver af en digital enhed, at den dokumenterer sit nets arkitektur på en forståelig og ajourført måde og deler sine systemer op i net eller zoner efter risikovurderingen. Kritiske systemer skal ligge i sikrede zoner, administrationen skal have sit eget net, og produktion skal holdes adskilt fra udvikling og test.
En audit af punkterne har to dele. Den ene er dokumentationen, altså tegningen, reglerne og planerne. Den anden er, om virkeligheden svarer til tegningen. Denne artikel handler mest om den første del og om, hvordan den kobles til den anden.
Netsikkerhed i punkt 6.7
Punkt 6.7.2 har en række krav. Et udvalg, forenklet gengivet:
- nettets arkitektur dokumenteres på en forståelig og ajourført måde
- fjernadgang kontrolleres, også tjenesteudbyderes fjernadgang
- systemer, der bruges til at administrere sikkerhedspolitikken, bruges ikke til andre formål
- unødvendige forbindelser og tjenester forbydes eller deaktiveres
- tjenesteudbyderes forbindelser tillades kun efter anmodning og for en bestemt periode
- der er en gennemførelsesplan for overgang til den seneste generation af protokoller i netværkslaget
- der er en gennemførelsesplan for moderne standarder for e-mailkommunikation
- anerkendt praksis for DNS-sikkerhed og for routingsikkerhed anvendes.
To af punkterne kræver en plan og ikke en færdig løsning. Det gælder overgangen til nyere protokoller i netværkslaget og de moderne e-mailstandarder. En auditor ser derfor efter, at planen findes, har datoer og følges.
Segmentering i punkt 6.8
Efter punkt 6.8.1 segmenteres systemerne i net eller zoner i overensstemmelse med risikovurderingen. Systemer og net adskilles fra tredjeparters systemer og net.
Punkt 6.8.2 har de mere konkrete krav. Forenklet gengivet:
- kritiske systemer placeres i sikrede zoner
- der er en demilitariseret zone
- adgang mellem og inden for zoner begrænses til det nødvendige
- der er et dedikeret net til administration, adskilt fra driftsnettet
- administrationskanaler adskilles fra anden trafik
- produktionsmiljøet holdes adskilt fra udvikling og test, herunder sikkerhedskopier.
Punkt 6.7.3 og 6.8.3 kræver, at foranstaltningerne gennemgås jævnligt efter en plan og på ny, når store hændelser eller ændringer indtræffer.
Hvad der skal være dokumenteret
Forordningen kræver ikke en bestemt form. Ud fra punkterne bør dokumentationen i praksis rumme følgende. Listen er en tolkning.
- En tegning af nettet med zoner og forbindelserne mellem dem.
- En beskrivelse af, hvilke systemer der ligger i hvilken zone, og hvorfor, med kobling til risikovurderingen.
- Regler for, hvad der må kommunikere mellem zonerne.
- En oversigt over fjernadgang, herunder leverandørernes adgang, og hvordan den åbnes og lukkes.
- Planerne for nyere protokoller og for e-mailstandarder.
- Datoer for de seneste gennemgange.
“Forståelig” betyder, at en anden end den, der tegnede, skal kunne læse tegningen. “Ajourført” betyder, at den viser nettet, som det er nu. En tegning fra før flytningen til et nyt datacenter opfylder ikke ordlyden.
Sådan prøver auditor punkterne
Det følgende er almindelig auditpraksis.
Auditor læser tegningen og beskrivelsen og holder dem op mod aktivfortegnelsen. Systemer, der står i fortegnelsen, men ikke på tegningen, er et tegn på, at dokumentationen er bagud.
Dernæst følger auditor nogle forbindelser. Et tænkt eksempel er udbyderens fjernadgang til en kundes miljø. Hvor går forbindelsen fra? Går den gennem administrationsnettet? Hvem åbner den, og hvornår lukkes den igen? Svarene skal kunne findes i dokumentationen og bekræftes i logs.
Leverandørernes forbindelser får særlig opmærksomhed, fordi 6.7.2 kræver, at de kun tillades efter anmodning og for en bestemt periode. Auditor beder om sporet efter nogle af dem.
Til sidst ser auditor efter adskillelsen mellem produktion, udvikling og test. Ligger testmiljøet i samme zone som produktionen, eller deler de sikkerhedskopier, er kravet i 6.8.2 ikke opfyldt, medmindre fravalget er begrundet efter artikel 2, stk. 2.
Om reglerne i firewallen og de andre netenheder faktisk svarer til dokumentationen, kræver en kontrol direkte i udstyret. Den hører til en teknisk gennemgang af nettet.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ajourført tegning, en zonemodel med kobling til risikovurderingen, regler for trafikken mellem zonerne og planer for de to overgange, forordningen nævner. Driften laver det tekniske, og den sikkerhedsansvarlige sikrer koblingen til risikovurderingen.
Uden segmentering kan en angriber, der kommer ind ét sted, bevæge sig frit. For en udbyder med adgang til kundernes miljøer kan det betyde, at én hændelse rammer mange kunder. Uden ajourført dokumentation kan hverken driften eller en auditor se, om segmenteringen holder.
Det skal I lade være med
- At lade tegningen ældes · punkt 6.7.2 kræver en ajourført beskrivelse.
- At holde leverandørernes adgang åben hele tiden · forbindelserne skal være tidsbegrænsede.
- At administrere fra samme net som driften · punkt 6.8.2 kræver et dedikeret administrationsnet.
Det skal auditten kunne vise
- ☐ En forståelig og ajourført tegning af nettets arkitektur med zoner.
- ☐ En kobling mellem zonemodellen og risikovurderingen.
- ☐ Spor af, at leverandørforbindelser åbnes efter anmodning og lukkes igen.
- ☐ Et dedikeret administrationsnet og adskilte administrationskanaler.
- ☐ Adskillelse af produktion fra udvikling og test, også for sikkerhedskopier.
- ☐ Planer med datoer for nyere protokoller og e-mailstandarder.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 2 og bilaget punkt 6.7 og 6.8, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoen på jeres seneste tegning af nettet, og skriv de ændringer op, der er sket siden.
Læs også: Ændringsstyring efter punkt 6.4 · Datacenter og hosting efter punkt 13
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
