Nødkommunikation er de kanaler, I bruger til at tale sammen, når mail, chat og telefoni ligger ned. NIS 2-loven nævner sikrede nødkommunikationssystemer, hvor det er relevant, og auditten ser efter, om I har vurderet behovet, valgt kanaler, der virker uden de almindelige systemer, og afprøvet dem.
Spørgsmålet lyder enkelt. Det bliver svært, når man tænker over, at kontaktlisten kan ligge i netop det system, der er nede.
Lovteksten
Det tiende og sidste punkt i lovens § 6, stk. 1, rummer flere ting. Et af dem er interne nødkommunikationssystemer, der er sikrede, og loven tilføjer “hvor det er relevant”. Bemærkningerne til loven, som Styrelsen for Samfundssikkerhed citerer i vejledningen fra juni 2025, kræver, at kommunikationen følger kryptografipolitikken og er tilgængelig, også når der er nødsituation.
Ordene “hvor det er relevant” står i lovteksten. Det er derfor jeres vurdering af relevansen, auditten først ser efter.
Det, vejledningen anbefaler
Under nødkommunikation bruger vejledningen “bør” og “kan”. Enheden bør vurdere behovet for kommunikationskanaler, fortrolighed og redundans. Løsningerne bør indgå i risikovurderingen, kontinuitetsplanen, hændelseshåndteringen og krisestyringen.
Vejledningen giver eksempler på, hvad der kan beskrives: planer for sikker kommunikation, kanalerne og hvordan de genetableres, redundans og kanaler til myndigheder og CSIRT’en, som er den nationale enhed, der tager imod underretninger om hændelser.
Som eksempler på kanaler nævner vejledningen alternative IP-telefoniløsninger, krypterede beskedtjenester, radioer, satellittelefoner og SMS. Kanalerne bør være tilgængelige uafhængigt af de primære systemer. Det bør også være aftalt, hvilket klassifikationsniveau af oplysninger der må deles på dem.
Styrelsens spørgeskema til kommunerne fra maj 2026 formulerede punktet som et udsagn om, at enheden i en nødsituation skal kunne bruge sikret tale-, video- og tekstkommunikation. Skemaet er stilet til kommuner og er ikke et krav til private virksomheder.
Uafhængig af hvad?
Det centrale ord i vejledningen er “uafhængigt”. Auditor ser derfor på, hvad kanalerne afhænger af. Kører den alternative løsning på samme login som resten? Ligger telefonlisten kun i det samme system? Kræver beskedtjenesten, at telefonerne er tilmeldt den samme administration, som angrebet har ramt?
Det er almindelig auditpraksis at stille de spørgsmål. Tag som tænkt eksempel en virksomhed, der har valgt en krypteret beskedtjeneste som nødkanal og knyttet alle konti til arbejdsmailen. Ligger mailsystemet ned, kan ingen nye logge ind. Kanalen hænger altså på det primære system.
Hvem skal kunne tale med hvem?
Nødkommunikation handler om mere end ledelsens indbyrdes kontakt. Auditor spørger, hvem der skal kunne nås i en krise. Ledelsen, IT, driftsleverandøren, medarbejdere på lokationerne og myndighederne er typiske svar.
For hver gruppe ser auditor efter en kanal og en kontaktliste, der ligger et sted, man kan få fat i uden systemerne. En udskrevet liste i en kuvert er stadig et gyldigt svar. Kanalen til myndigheden hænger sammen med fristerne for at underrette.
Afprøvningen
Vejledningen anbefaler, at nødkommunikation testes regelmæssigt, og at testen kan indgå i en årlig krisestyringsøvelse. Resultaterne bør dokumenteres, så fejl og læring bliver samlet op. “Årlig” står her som eksempel.
Auditor beder om dokumentationen for seneste test. Hvem deltog? Virkede kanalerne? Var kontaktlisterne opdaterede? Hvad blev rettet bagefter? Hvordan en øvelse dokumenteres, så den kan bruges som bevis, står i øvelser som bevis.
Er der ingen test, er det et fravalg af en anbefaling. Det skal begrundes over for tilsynet. Hvordan nødkommunikationen passer ind i kontinuiteten, står i audit af beredskabsplanen.
Sikkerheden på kanalen
Bemærkningernes kobling til kryptografipolitikken har en praktisk følge. Auditor ser derfor efter, om de valgte kanaler er vurderet efter den, og om det er aftalt, hvilke oplysninger der må deles. En åben kanal kan være acceptabel til at kalde folk sammen. Den er det sjældent til at dele detaljer om et angreb. Se også audit af kryptering.
Hvad det kræver, og hvad det koster at lade være
Det kræver en vurdering af behovet, et valg af en eller flere kanaler, der virker uden de primære systemer, en kontaktliste, der kan findes uden dem, og en afprøvning med jævne mellemrum. For mange virksomheder kan det løses enkelt, når behovet først er vurderet.
Uden nødkommunikation bruges de første timer af en krise på at finde hinanden. Beslutninger bliver truffet af dem, der tilfældigvis er til stede, og underretningen til myndigheden kan blive forsinket.
Det skal I lade være med
- At vælge en nødkanal, der bruger samme login som resten · vejledningen anbefaler kanaler, der er uafhængige af de primære systemer.
- At gemme kontaktlisten kun i de primære systemer · en udskrift er et gyldigt svar.
- At dele angrebsdetaljer på en åben kanal · klassifikationsniveauet for kanalen bør være aftalt.
Det skal auditten kunne vise
- ☐ En dokumenteret vurdering af behovet for nødkommunikation.
- ☐ Valgte kanaler og en beskrivelse af, hvad de afhænger af.
- ☐ Kontaktlister, der kan findes uden de primære systemer.
- ☐ En aftale om, hvilke oplysninger der må deles på hver kanal.
- ☐ Dokumentation for seneste test og den læring, den gav.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 10, afsnit 10.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Forestil jer, at mail og telefoni er nede i morgen tidlig. Skriv op, hvordan direktøren får fat i IT-ansvarlig og driftsleverandør.
Læs også: Redundans og nødstrøm · Audit af hændelseshåndteringen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
