En god NIS2-auditrapport konkluderer på hvert af lovens ti minimumspunkter, forklarer hvad konklusionen bygger på, og samler det hele på en kort side, som ledelsesorganet kan beslutte ud fra. Uden den struktur bliver rapporten en liste af fund, som ingen kan bruge til at se, om virksomheden lever op til loven.
Artiklen kan bruges to gange. Før auditten som målestok for tilbuddet, og bagefter som tjekliste til den rapport, I har modtaget.
Rapporten følger lovens ti punkter
NIS 2-loven kræver i § 6, stk. 1, at foranstaltningerne som minimum omfatter ti områder, fra risikoanalyse og politikker til multifaktorautentificering. Styrelsen for Samfundssikkerheds vejledning følger samme rækkefølge, og myndighedens spørgeskema til kommunerne i 2026 er bygget kapitel for kapitel efter dem.
Det er derfor naturligt, at rapporten også gør det. En konklusion pr. punkt gør det let at se, hvor manglerne er, og den gør rapporten sammenlignelig med det, tilsynet ville spørge om. Rapporten godkender dog intet. Om virksomheden efterlever loven, afgøres af den sektoransvarlige myndighed.
Rapportens dele
Loven siger intet om, hvordan en auditrapport skal se ud. Anerkendt praksis fra NIST og fra standarderne for intern revision giver et mønster med disse dele.
Mål og omfang. Hvad auditten skulle svare på, hvilke juridiske enheder, systemer og lokationer der er med, og hvilken periode der er dækket.
Kriterier. Normalt § 6 og vejledningens krav og anbefalinger. Er sektorvejledninger eller forordning 2024/2690 brugt, skal det stå.
Metode og dybde. Hvilke dokumenter er gennemgået, hvem er interviewet, hvad er testet, og hvor dybt er der gået.
Omfangsbegrænsninger. Det, auditor ikke fik adgang til, eller som blev taget ud undervejs.
Fund. For hvert fund kriteriet, tilstanden, årsagen, virkningen og prioriteten. Det skal fremgå, om fundet ligger under et “skal” eller et “bør” i vejledningen. Se klassificering af fund.
Anbefalinger og konklusion. Pr. punkt og samlet.
Ansvarlige og datoer. Hvem der ejer hver handling, og hvornår den er planlagt. Er en rettelse allerede i gang, bør rapporten nævne det, som standarderne for intern revision også lægger op til.
Siden til ledelsesorganet
Ingen regel kræver en side på netop én side. Det er et råd. Efter § 7 er godkendelsen og tilsynet ledelsesorganets opgave, og ledelsesorganet skal derfor kunne læse, hvad rapporten betyder, uden at gå igennem alle fund.
Rådet her er, at siden svarer på fire spørgsmål. Er kravene i § 6 opfyldt, punkt for punkt? Hvilke mangler i krav udløser pligten i § 6, stk. 2, til at rette uden unødigt ophold? Hvilke anbefalinger er valgt fra uden en dokumenteret begrundelse? Og hvad skal ledelsesorganet beslutte nu?
En oversigt med ti linjer, én pr. punkt, og en markering af status klarer det meste. Under den står de tre til fem vigtigste fund og de beslutninger, de kræver. NIST beskriver et resumé med hovedfund og anbefalinger til ledelsen som en del af en god rapport. Hvordan bestyrelsen læser resten, står i sådan læser bestyrelsen en NIS2-auditrapport.
Det, der normalt ikke står i rapporten
Arbejdspapirerne, altså referater, udtræk og stikprøvelister, indgår normalt ikke i selve rapporten. De gemmes som spor af beviset. Aftal, hvor længe de gemmes, og om I kan få kopi. Rapporten bør dog sige, hvor beviset findes, så en kyndig læser kan finde det.
Rapporten er heller ikke en revisorerklæring. Den forskel er beskrevet i auditrapport eller revisors NIS2-erklæring.
Kundens krav til en leverandørs rapport behandles under leverandørens dokumentation. Den tekniske del af rapporten med de enkelte kontrolpunkter hører til teknisk gennemgang.
Spørg også efter, hvordan rapporten håndterer de punkter, der ikke kunne vurderes. NIST beskriver, at en kontrol kan stå som ikke tilfredsstillende, fordi auditor ikke fik oplysninger nok. Det er en anden besked end en konstateret mangel, og rapporten bør skille de to ad. For ledelsesorganet er forskellen vigtig. Det ene kræver en rettelse, det andet at materialet bliver fundet frem.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at I aftaler rapportens opbygning i opdraget, før gennemgangen begynder. Spørg efter en prøverapport, så I kan se formen. Det kræver også, at I selv læser udkastet grundigt i høringen.
En rapport uden konklusion pr. punkt og uden en side til ledelsen bliver liggende hos IT. Ledelsesorganet kan ikke bruge den til sit tilsyn, og rapporten kan ikke vise tilsynet, hvad der er gjort.
Det skal I lade være med
- At acceptere en rapport uden omfang og periode · så ved ingen, hvad konklusionen gælder.
- At blande krav og anbefalinger · de har forskellig vægt efter vejledningen.
- At kalde rapporten en godkendelse · efterlevelsen afgøres af myndigheden.
Det skal auditten kunne vise
- ☐ Mål, omfang, kriterier, metode og periode.
- ☐ En konklusion for hver af de ti punkter i § 6, stk. 1.
- ☐ Fund med kriterium, tilstand, årsag, virkning og prioritet.
- ☐ Omfangsbegrænsninger.
- ☐ En kort side til ledelsesorganet med de beslutninger, der skal træffes.
- ☐ Ejere og datoer for handlingerne.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, bilag E, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 15.1, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed om en prøverapport, og hold den op mod listen ovenfor, før I vælger auditor.
Læs også: Uenig i et fund? · Hvem må få auditrapporten?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
