NIS2-kravene i § 6 og underretningen

NIS 2-lovens § 6, stk. 1, nævner ti foranstaltninger, som enhver omfattet virksomhed skal have. Dertil kommer pligten til at underrette om væsentlige hændelser og ledelsens ansvar efter § 7. Artiklerne her tager kravene ét for ét og beskriver, hvad en audit spørger efter, og hvilket bevis der skal kunne vises. De bygger på loven og Styrelsen for Samfundssikkerheds vejledninger, og forenkling og tolkning er markeret i hver artikel.

Risiko, politik og effektivitet

• NIS2 og ledelsen: hvad loven kræver, og hvad auditten ser efter Fire pligter til ledelsesorganet og sporet bag hver.
• Audit af risikovurderingen Skader på andre, alle farer og en risikoejer, der har accepteret.
• Sektorens trusselsvurdering i risikovurderingen Brugt, dateret og omsat til scenarier.
• Audit af sikkerhedspolitikkerne Sammenhæng, godkendelse og gennemlæsning siden.
• Vurderer I selv, om foranstaltningerne virker? Kravet i § 6, stk. 1, nr. 6, og pligten til at rette.
• Beslutningen om tekniske test Behov, typer og hyppighed lagt fast ud fra risikoen.
• Tallene bag ledelsesrapporteringen Nøgletal, der kan spores tilbage til kilden.
• Ledelsesorganets kurser som auditpunkt Deltagelse og den samlede kompetence i organet.

Hændelser og underretning

• Audit af hændelseshåndteringen Sporene fra rigtige hændelser og fra øvelser.
• Kan I nå 24 timer, 72 timer og en måned? Vejen fra opdagelse til indberetning afprøvet.
• Jeres egne tærskler for en væsentlig hændelse Grænser, der gør vurderingen hurtig og forklarlig.
• Hvem kan afgøre, om hændelsen er væsentlig? Vagtordning, aftaler og svartid.
• Leverandøren underretter på jeres vegne Ansvaret for rettidig underretning bliver hos jer.
• Underretning af kunderne efter § 15 Kontaktlister, tekster og hvem der beslutter.
• Hændelsesunderretninger er ikke undtaget fra aktindsigt Skrevet, så de kan læses af andre end myndigheden.
• Frivillig underretning og cybersikkerhedsfællesskaber

• Artikel 14 i auditten af hændelsesberedskabet §§ 14 og 19 set fra den omfattede virksomhed.

Beredskab og kontinuitet

• Audit af beredskabs- og kontinuitetsplanen Forudsætninger, rækkefølge og ajourføring.
• Krisestyring og øvelser Et spor, en udenforstående kan følge.
• Audit af backup og gendannelse Kravet, anbefalingerne og testen.
• Nødkommunikation Kanaler, der virker, når de almindelige ligger ned.
• Har I vurderet behovet for redundans og nødstrøm? Vurderingen af behovet og dokumentationen af den.

Leverandører og anskaffelse

• Audit af jeres leverandørstyring Jeres egne procedurer for valg, krav og opfølgning.
• Sikkerhed ved anskaffelse, udvikling og vedligeholdelse Tre systemer fulgt gennem livscyklussen.
• Udfasning og bortskaffelse af systemer Det sidste led, der ofte glemmes.

Adgang, mennesker og aktiver

• Audit af adgangsstyringen Tildeling, gennemgang og privilegerede konti.
• Audit af MFA Hvor det er relevant, og den dokumenterede gennemgang.
• Personalesikkerhed Ansættelse, rolleskift og fratrædelse fulgt til adgangene.
• Baggrundskontrol efter tre regelsæt Mulighed, krav eller adgang afhængigt af loven.
• Audit af cyberhygiejne og uddannelse af medarbejdere Fra deltagerlister til spørgsmålet om virkning.
• Aktivregistret Fortegnelsen, de øvrige konklusioner hviler på.
• Fysisk adgang og miljø i NIS2-auditten Politikken, de fysiske logs og besigtigelsen.

Teknik som compliance-punkt

• Audit af sårbarhedshåndtering og opdatering

• Meldinger om sårbarheder udefra som auditområde Jeres egne frister og begrundede undtagelser.
• Audit af kryptering og nøglehåndtering Politik, brug og ansvaret for nøglerne.
• Logning og overvågning Kilder, opbevaring, alarmer og en reaktion.

Sådan bruger I siden

Brug grupperne som en tjekliste for bevismappen, men læs artiklen bag hvert punkt, før I krydser af. Begynd med risikovurderingen og aktivregistret, fordi resten bygger på dem. Underretningsfristerne bør afprøves tidligt, fordi en væsentlig hændelse kan komme før auditten. Hvordan auditten selv bestilles og afgrænses, står på temasiden om NIS2-audit.

Hvad det kræver, og hvad det koster at lade være

Hvert krav kræver en procedure, en ejer og et spor af, at proceduren bliver brugt. Mangler sporet, står kravet som en mangel i dokumentationen, også hvis arbejdet bliver gjort. Konstaterer I en mangel i et af kravene i § 6, stk. 1, skal den rettes uden unødigt ophold, og det er lettere at gøre efter en audit end efter et tilsynsbesøg.

Det skal I lade være med

• At lade et dokument stå som bevis for praksis · auditor vil se sporet.
• At glemme de frivillige anbefalinger, I har valgt fra · fravalget skal begrundes.
• At øve underretning første gang under en hændelse · fristerne er korte.

Det skal auditten kunne vise

• ☐ Et samlet resultat pr. foranstaltning i § 6, stk. 1.
• ☐ At vejen fra opdagelse til underretning er afprøvet.
• ☐ Hvem der ejer hver foranstaltning.
• ☐ Ledelsesorganets godkendelse og tilsyn efter § 7.

Senest gennemgået: november 2026.

Næste skridt

• NIS2-audit: grundlag og afgrænsning
• Fund, rapport og opfølgning

Læs også: Digitale enheder · Auditmetode og bevis

→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT