NIS2-audit: grundlag og afgrænsning

Under NIS 2-loven må ledelsen kunne dokumentere over for tilsynet, at foranstaltningerne findes, virker og er godkendt. En NIS2-audit er en måde at få det efterprøvet på, før myndigheden spørger. Artiklerne her forklarer, hvad loven kræver om kontrol, hvilke kilder auditten kan måle imod, hvornår og hvor ofte den bør ligge, og hvordan omfanget fastlægges, når virksomheden er en koncern, har lagt driften ud eller hører under flere regelsæt. Gengivelsen af loven er forenklet.

Hvad en NIS2-audit er

• Hvad er en NIS2-audit, og hvilke spørgsmål svarer den på? Foranstaltninger, dokumentation og evnen til at underrette.
• NIS2-audit, gap-analyse eller parathedstjek Hvad der passer til, hvor langt arbejdet er nået.
• Kræver NIS 2-loven en audit? Lovens egen kontrolpligt og myndighedens mulighed for at pålægge.
• Intern eller ekstern NIS2-audit Hvornår egne folk kan, og hvornår en uvildig er et krav.
• Hvad en NIS2-audit ikke kan bevise Det er myndigheden, der vurderer efterlevelsen.
• Væsentlig eller vigtig enhed Samme krav, og derfor auditerer vigtige enheder også.

Målestokken

• Skal, bør og kan Vejledningens tre niveauer som auditkriterier.
• Gennemførelsesforordning 2024/2690 som målestok, når den ikke gælder for jer Inspiration, der ikke kan kræves.
• ENISA’s tekniske vejledning Eksempler på bevis, som ingen er forpligtet til at have alle af.
• Standardhenvisningerne i vejledningen Henvisninger til standarder som hjælp til at finde rundt.
• ISO 27001-certifikatet i NIS2-auditten Anvendelsesområdet og de krav, der stadig skal kontrolleres.
• I har en ISAE 3402- eller 3000-erklæring Hvad der kan genbruges, og hvad der ligger udenfor.
• Tilsynets spørgeskema fra maj 2026 brugt af en privat virksomhed Skemaet som prøve for virksomheder under samme styrelse.

Tidspunkt og rytme

• Hvornår skal den første NIS2-audit ligge? Når grundlaget har kørt et stykke tid.
• Hvor ofte skal en NIS2-audit gentages? Et fast interval og de ændringer, der udløser en ekstra.

Omfang og afgrænsning

• Afgrænsning af NIS2-auditten Alle systemer bag tjenesten, med frihed i dybde og rækkefølge.
• Hele CVR-nummeret er med i auditten Ét omfattet område trækker hele den juridiske enhed med.
• NIS2-audit i en koncern Det fælles én gang og et svar for hvert selskab.
• Datterselskaber i andre EU-lande Kriterier efter det land, selskabet er etableret i.
• Driften er outsourcet Jeres egen del først, leverandørens bagefter.
• NIS2 og GDPR artikel 32 i samme audit Fælles kontroller gennemgået én gang til to formål.
• Energi, tele eller finans ved siden af en NIS 2-sektor Hvilken lov hver del af virksomheden måles efter.
• Både NIS 2 og CER Net- og informationssystemerne adskilt fra den øvrige modstandsdygtighed.
• OT og produktionsanlæg i NIS2-auditten Anlæggene med i omfanget og lempelserne brugt rigtigt.

Omfattet, og hvordan det dokumenteres

• Størrelsesberegningen efterprøvet En fejl i beregningen flytter alt andet.
• Hovedforretningssted for en digital enhed De tre trin og vurderingen på skrift.
• Registreringen efterprøvet Oplysningerne på virk.dk holdt op mod virkeligheden.

Sådan bruger I siden

Læs grundartiklen og artiklen om, hvad loven kræver, før I bestiller. Brug derefter artiklerne om målestokken til at skrive kriterierne ind i opdraget, og artiklerne om omfang til at sikre, at alle systemer og selskaber er med. Er I ikke sikre på, at I er omfattet, så begynd med størrelsesberegningen. Kravene ét for ét står på temasiden om NIS2-kravene i § 6.

Hvad det kræver, og hvad det koster at lade være

En NIS2-audit kræver, at de grundlæggende politikker og procedurer findes, at ledelsesorganet har godkendt dem, og at nogen kan samle beviset. Uden en efterprøvning er det første eksterne blik på jeres arbejde måske myndighedens, og så er det tilsynet, der finder manglerne, og I, der skal forklare dem.

Det skal I lade være med

• At skære systemer fra omfanget for at gøre auditten mindre · loven omfatter dem alle.
• At kalde en NIS2-audit en godkendelse · den er en vurdering til ledelsen.
• At regne et ISO-certifikat for opfyldelse af loven · flere krav skal kontrolleres særskilt.

Det skal auditten kunne vise

• ☐ Hvilke enheder og systemer der er med, og hvorfor.
• ☐ De kriterier, der er målt imod, med kilde.
• ☐ En konklusion for hver af lovens foranstaltninger.
• ☐ Hvordan størrelse og registrering er efterprøvet.

Senest gennemgået: november 2026.

Næste skridt

• NIS2-kravene i § 6
• Bestilling og forberedelse

Læs også: Tilsyn og håndhævelse · Digitale enheder

→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT