Står I ved begyndelsen af NIS2-arbejdet, giver en gap-analyse mest, fordi den viser, hvad der mangler. Er arbejdet i gang, og vil ledelsen vide, om det holder, er en audit det rigtige, fordi den samler bevis for det, der står.
Ingen myndighed har defineret de tre ord i NIS2-sammenhæng. Forskellene nedenfor er almindelig faglig sprogbrug, og leverandører bruger ordene forskelligt. Spørg derfor altid, hvad der konkret bliver leveret, uanset hvad ydelsen hedder.
Tre spørgsmål med hver sit svar
En gap-analyse svarer på spørgsmålet “hvad mangler vi?”. Den sammenligner jeres nuværende tilstand med kravene i NIS 2-loven og vejledningerne og munder ud i en liste over huller, som arbejdet kan planlægges efter. Den bygger typisk på samtaler og på det, I fortæller.
Et parathedstjek svarer på “hvor langt er vi?”. Ordet bruges om en kortere status, ofte med en score eller et farvekort pr. område. Det er nyttigt som pejling midt i et projekt, men indholdet varierer meget fra udbyder til udbyder.
En audit svarer på “kan vi vise det?”. Den måler mod faste kriterier, som er aftalt på forhånd, og den indsamler bevis for, at foranstaltningerne findes og virker. Resultatet er fund med henvisning til kriterium og bevis. Hvad en sådan gennemgang omfatter, står i hvad er en NIS2-audit.
Det, tilsynet vil se
Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger, 1. udgave juni 2025, gør det klart, hvad en omfattet virksomhed skal kunne lægge frem. Punkter, vejledningen markerer med skal, skal være gennemført og dokumenteret. Punkter med bør skal enten være fulgt, eller også skal I kunne forklare tilsynet, hvorfor de ikke er, ud fra det teknologiske stade, omkostningerne og jeres risici.
Det er et brugbart pejlemærke for valget. En gap-analyse finder hullerne og hjælper jer med at lukke dem. En audit dokumenterer, hvad der står, og om fravalgene er begrundet. Kun den sidste giver ledelsen et billede, der bygger på materiale, en udenforstående kan efterprøve.
Vælg efter, hvor I står
Har I ingen risikovurdering, ingen godkendt politik og intet overblik over systemerne, er en audit for tidlig. Den vil i store træk konstatere, at kravene ikke er opfyldt, og det vidste I i forvejen. Her giver en gap-analyse eller jeres egen gennemgang med myndighedernes materiale mere. Se selvevaluering før auditten.
Er politikker og procedurer skrevet og godkendt, og har de kørt et stykke tid, kan et parathedstjek vise, hvilke områder der halter. Det er en mellemstation, som ledelsen kan bruge til at prioritere de næste måneder.
Skal ledelsesorganet bruge resultatet i sit tilsyn efter § 7, eller vil I kunne vise tilsynet, at I har kontrolleret jer selv, er auditten det rigtige valg. Den forudsætter, at der er noget at kontrollere, og den kræver, at I kan finde beviset frem. Hvad der tæller, står i hvad tæller som bevis.
Når ydelserne glider sammen
Mange tilbud blander formerne. En gap-analyse kan indeholde stikprøver, og en audit kan slutte med anbefalinger til, hvordan hullerne lukkes. Det er i orden, så længe I ved, hvilken del er hvad. Spørg leverandøren om fire ting, før I vælger:
- Hvilke kriterier måles der imod, og er de skrevet ned i opdraget?
- Hvilket bevis bliver set, og hvad bygger alene på interview?
- Hvem skrives konklusionen til?
- Hvad sker der med de fund, der kræver rådgivning bagefter?
Det sidste spørgsmål er vigtigt for uafhængigheden. Den, der finder hullerne og derefter skal sælge lukningen af dem, har en interesse i resultatet. Leverer samme firma både analyse og rådgivning, bør det stå klart i aftalen.
Vil ledelsen vide, hvor moden sikkerheden er over tid, er det et fjerde spørgsmål med sin egen metode. Det er beskrevet i modenhedsvurdering eller efterlevelsesaudit, og målingen af modenhed i større organisationer over flere år hører hjemme et andet sted.
Hvad det kræver, og hvad det koster at lade være
En gap-analyse kræver mest af nøglepersonernes tid til samtaler. Et parathedstjek kræver lidt mindre. En audit kræver, at dokumenter, referater og udtræk kan findes frem, og at systemerne er tilgængelige for stikprøver, så den lægger mere beslag på IT og ledelse.
Vælger I forkert, betaler I med tid. En audit for tidligt giver en lang liste, som en gap-analyse kunne have givet hurtigere. En gap-analyse, når ledelsen har brug for bevis, efterlader bestyrelsen med en vurdering, den ikke kan efterprøve, og spørgsmålet kommer igen ved næste tilsyn eller hændelse.
Det skal I lade være med
- At vælge efter navnet på ydelsen · indholdet afgør, om det er en audit.
- At bestille en audit før det første udkast · den viser kun, at alt mangler.
- At bruge en score som bevis over for tilsynet · myndigheden spørger efter dokumentation.
Det skal auditten kunne vise
- ☐ Kriterierne, der er målt imod, skrevet i opdraget før start.
- ☐ For hvert fund: hvilket bevis der er set, og hvad der kun er fortalt.
- ☐ Skillelinjen mellem fund og anbefalinger til, hvordan de lukkes.
- ☐ Hvilke bør-punkter der er fravalgt, og om fravalget er begrundet.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvilket af de tre spørgsmål ledelsen vil have svar på, før I indhenter tilbud.
Læs også: Valg af auditor til en NIS2-audit · Hvornår skal den første NIS2-audit ligge?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
