Digitale enheder og forordning 2024/2690

Leverer virksomheden administrerede tjenester, cloud, hosting eller datacentertjenester, gælder andre og mere præcise krav end for de fleste omfattede virksomheder. Gennemførelsesforordning (EU) 2024/2690 træder i stedet for lovens almindelige krav og har et bilag med punkter, der er bindende. Artiklerne her tager punkterne i den rækkefølge, en audit typisk går igennem dem, og viser, hvilke begrundelser og spor auditor ser efter. Gengivelsen af forordningen er forenklet.

Er I omfattet, og hvad gælder

• MSP, cloud, hosting og datacenter Hele CVR-nummeret måles efter bilaget.
• Koncern-IT eller udbyder af administrerede tjenester? Vurderingen, koncernen selv skal have skrevet ned.
• “Hvor det er relevant” og “i det omfang det er muligt” Fravalg, der skal være begrundet og holde.
• Digitaliseringsstyrelsens vejledningsskema som auditprogram Kontrolmål og kontroller, som auditten efterprøver.

Styring og ledelse

• Roller og ansvar efter punkt 1.2 Direkte rapportering og adskilte opgaver.
• Risikostyring efter punkt 2.1 Behandlingsplan, accepteret restrisiko og årlig gennemgang.
• Overvågning af overholdelse efter punkt 2.2 Rapporten om overholdelse til ledelsesorganerne.
• Uafhængig gennemgang efter punkt 2.3 Auditkompetence og adskillelse fra det, der gennemgås.

Hændelser

• Væsentlig hændelse efter forordningen De generelle og de typebestemte tærskler som auditpunkt.
• Logning efter punkt 3.2 Begivenhederne, opbevaringen og tidskilderne.
• Klassifikation af begivenheder og gennemgang efter hændelsen Kvartalsvis vurdering og grundårsager.

Kontinuitet og leverandører

• Forretningskonsekvensanalyse, backupplan og gendannelsestest Genopretningstider, kopier udenfor og dokumenterede test.
• Udbyderens egne leverandører Politik, kontraktkrav, overvågning og register.

Systemer, adgang og aktiver

• Ændringsstyring efter punkt 6.4 Test, konsekvensvurdering og nødændringer.
• Patch og sårbarheder efter punkt 6.6 og 6.10 Den dokumenterede begrundelse for at lade være.
• Netarkitektur og segmentering efter punkt 6.7 og 6.8 Zoner, administrationsnet og adskilt udvikling.
• Privilegerede konti, administrationssystemer og identiteter efter punkt 11 Særlige konti og planlagt gennemgang af rettigheder.
• Aktiver efter punkt 12 Klassifikation, fortegnelse, mobile medier og tilbagelevering.
• Datacenter og hosting efter punkt 13 Forsyninger, egne kontroltærskler og perimeter.
• Domænenavnsregistrering efter bekendtgørelse nr. 653 Egne regler for en snæver gruppe udbydere.

Sådan bruger I siden

Afklar først, om I er omfattet, og om koncernens interne IT kan være det. Brug derefter vejledningsskemaet eller bilaget som disposition for auditten og læs artiklen om begrundelser, før I skriver et fravalg. Punkt 2.3 om uafhængig gennemgang bør læses af ledelsen, fordi det handler om, hvem der må lave gennemgangen, og hvad ledelsen skal have bagefter.

Hvad det kræver, og hvad det koster at lade være

Forordningen kræver flere faste intervaller og flere skriftlige begrundelser end lovens almindelige krav. Det kræver en ejer for hvert punkt og et dokumenteret spor. Mangler begrundelsen for et fravalg, står kravet som uopfyldt, og en udbyder, der administrerer kunders miljøer, kan ikke forklare kunderne, hvorfor punktet er fravalgt.

Det skal I lade være med

• At gå ud fra, at en lille digital aktivitet holder jer udenfor · hele CVR-nummeret er med.
• At bruge selvevalueringen som bevis · den skal efterprøves.
• At lade den, der driver et område, gennemgå det · det strider mod punkt 2.3.

Det skal auditten kunne vise

• ☐ Hvorfor virksomheden er omfattet af forordningen.
• ☐ En begrundelse for hvert punkt, der er valgt fra.
• ☐ At de faste intervaller i bilaget er overholdt.
• ☐ Hvem der har lavet den uafhængige gennemgang.

Senest gennemgået: november 2026.

Næste skridt

• NIS2-audit: grundlag og afgrænsning
• NIS2-kravene i § 6

Læs også: Tilsyn og håndhævelse · Auditmetode og bevis

→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT