NIS 2-loven lægger fire pligter direkte på ledelsesorganet: det skal godkende sikkerhedsforanstaltningerne, føre tilsyn med, at de bliver gennemført, sørge for, at mangler bliver rettet, og selv deltage i kurser. Det er ikke opgaver, ledelsen kan give videre til IT, og derfor er de det første, en NIS2-audit spørger til.
Artiklen samler pligterne på ét sted og viser for hver af dem, hvilket spor en auditor beder om. Gengivelsen af loven er forenklet og ikke juridisk rådgivning.
Hvem “ledelsen” er efter loven
Loven bruger ordet ledelsesorgan og definerer det i § 3, nr. 20. Har selskabet både bestyrelse og direktion, er det bestyrelsen. Har det kun en direktion, er det direktionen. Har det en direktion og et tilsynsråd, er det direktionen.
Det betyder, at pligterne i et almindeligt aktieselskab med bestyrelse ligger hos bestyrelsen, også selv om direktøren og IT-chefen gør arbejdet i praksis. Mange virksomheder lægger alt i direktionen og opdager først ved auditten, at bestyrelsen aldrig har set foranstaltningerne.
Pligt 1: Godkend foranstaltningerne
Efter § 7, stk. 1, skal ledelsesorganet godkende de foranstaltninger, virksomheden træffer efter § 6, stk. 1. Det er de ti områder fra risikoanalyse og hændelseshåndtering til multifaktorautentificering.
Det beder auditor om: et referat fra et bestyrelses- eller direktionsmøde, hvor godkendelsen står som et punkt med dato, og det materiale, der lå til grund. En mail fra IT-chefen om, at “ledelsen er orienteret”, er ikke det samme. Hvordan sporet bygges, står i sporet efter ledelsesorganets godkendelse.
Pligt 2: Før tilsyn med gennemførelsen
Samme bestemmelse siger, at ledelsesorganet fører tilsyn med, at foranstaltningerne bliver gennemført. En godkendelse en gang om året er ikke tilsyn. Tilsyn kræver, at ledelsen jævnligt får at vide, hvordan det går, og reagerer, når noget halter.
Det beder auditor om: en fast rapportering til ledelsesorganet, fx status på handlingsplanen og væsentlige hændelser, og spor efter, at ledelsen har stillet spørgsmål eller truffet beslutninger på baggrund af den. En ekstern auditrapport kan være en del af tilsynet, men den kan ikke stå alene. Det er forklaret i auditrapporten som dokumentation for ledelsens tilsyn.
Pligt 3: Sørg for, at mangler bliver rettet
Lever virksomheden ikke op til § 6, stk. 1, kræver § 6, stk. 2, at manglerne bliver afhjulpet, og at det sker uden unødigt ophold. Pligten ligger på virksomheden, men fordi § 7, stk. 1, også omfatter foranstaltninger efter § 6, stk. 2, er det ledelsesorganet, der skal godkende og følge rettelserne.
Det beder auditor om: en handlingsplan med ejere og datoer, som ledelsesorganet har godkendt, og spor efter, at den følges. Accepterer ledelsen en risiko i stedet for at rette, skal beslutningen kunne forsvares. Se fra fund til handlingsplan og risikoaccept efter NIS2.
Pligt 4: Deltag i kurser
Efter § 7, stk. 2, har hvert medlem af ledelsesorganet pligt til at gå på relevante kurser, og ledelsen skal opfordre til, at resten af medarbejderne får lignende tilbud. Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle stiller ingen krav til kursets form og indhold, og det er ikke et krav, at alle medlemmer har gennemført et kursus. Ledelsesorganet skal som helhed kunne vurdere risici og træffe beslutninger om foranstaltningerne.
Det beder auditor om: kursusbeviser eller bekræftelser på deltagelse, kursets indhold og en vurdering af, om ledelsen samlet har den nødvendige viden. Detaljerne står i ledelsens kurser som auditpunkt.
Det, der står på spil
Overtrædelse af § 6, stk. 1 og 2, kan straffes med bøde, og virksomheden kan straffes som juridisk person (§ 32). For en væsentlig enhed kan myndigheden som sidste udvej beslutte midlertidigt at forbyde en person at udøve ledelsesfunktioner, hvis tidligere påbud ikke har virket (§ 23). Det gælder ikke vigtige enheder. Optrapningen er beskrevet i tilsynsperson og ledelsesforbud.
Vores læsning er, at det sjældent er de tekniske detaljer, der bringer ledelsen i vanskeligheder. Det er manglende spor efter, at ledelsen har gjort det, loven pålægger den. Det er en tolkning, ikke en gengivelse af tilsynspraksis.
Pligterne på én side
- Godkende foranstaltningerne · Hjemmel: § 7, stk. 1 · Det spor, auditten beder om: Referat med dato og beslutningsgrundlag
- Føre tilsyn med gennemførelsen · Hjemmel: § 7, stk. 1 · Det spor, auditten beder om: Fast rapportering og ledelsens reaktioner på den
- Sørge for rettelse af mangler · Hjemmel: § 6, stk. 2, og § 7, stk. 1 · Det spor, auditten beder om: Godkendt handlingsplan og status på den
- Deltage i kurser · Hjemmel: § 7, stk. 2 · Det spor, auditten beder om: Kursusbeviser og vurdering af samlet viden
Hvad det kræver, og hvad det koster at lade være
Det kræver et fast punkt på dagsordenen, et beslutningsgrundlag, ledelsen kan forstå, og en sekretær, der skriver beslutningen ned. Den største opgave er ofte at få bestyrelsen ind i et arbejde, der indtil nu har ligget i direktionen.
Uden sporet kan ledelsen ikke vise, at den har gjort det, loven kræver, selv om IT-sikkerheden i øvrigt er i orden. Det bliver det første fund i en audit og det første, tilsynet spørger til.
Det skal I lade være med
- At lade direktionen godkende, når der er en bestyrelse · ledelsesorganet er bestyrelsen.
- At kalde en årlig godkendelse for tilsyn · tilsyn kræver løbende rapportering.
- At sende én person på kursus for hele bestyrelsen · ledelsen skal samlet kunne vurdere risici.
Det skal auditten kunne vise
- ☐ Hvem ledelsesorganet er efter § 3, nr. 20.
- ☐ Referat med ledelsesorganets godkendelse af foranstaltningerne.
- ☐ Fast rapportering til ledelsesorganet og spor efter beslutninger.
- ☐ En godkendt handlingsplan for kendte mangler.
- ☐ Kursusbeviser og en vurdering af ledelsens samlede viden.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 6, 7, 23 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Bestyrelsen bestiller selv auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
