En audit kan udtale sig om, hvordan tingene var på et bestemt tidspunkt, eller om, hvordan kontrollerne har virket over en periode. De to konklusioner ser ens ud i en rapport, men de giver vidt forskellig sikkerhed. Et øjebliksbillede viser, at noget var på plads den dag, mens en periode viser, at det blev ved med at virke.
Før I bestiller, skal I derfor vide, hvilken af de to I har brug for. Svaret afhænger af, hvem rapporten er til, og hvad modtageren vil bruge den til.
Hvad et øjebliksbillede kan
Et øjebliksbillede beskriver tilstanden på en dato. Auditor ser politikker, opsætninger og procedurer, som de ser ud, mens gennemgangen foregår. Det er nyttigt som udgangspunkt, fx når en ny ledelse vil vide, hvor virksomheden står, eller før et større projekt.
Begrænsningen er kendt fra revisionsstandarderne. Efter ISA 330 dækker det, auditor observerer, alene det øjeblik, observationen sker. At backuppen virkede den dag, auditor så på den, siger intet om de foregående måneder. Et øjebliksbillede kan derfor vise design og indførelse, men det kan ikke vise virkning over tid. Forskellen er forklaret i design, indførelse og virkning.
Hvad en periode kræver
En konklusion om en periode kræver bevis, der dækker hele perioden. Det betyder logs, sager og referater, der går tilbage til periodens start, og stikprøver valgt på tværs af den. NIST skelner mellem den dækning, der viser, at kontroller er indført, og den dækning, der giver grund til tillid til, at de virker løbende og konsekvent.
Standarderne for intern revision beskriver, at omfanget af en opgave også angiver den periode, der dækkes. Det gør det tydeligt for læseren, hvad konklusionen gælder for. En rapport uden periode er i praksis et øjebliksbillede, uanset hvordan konklusionen er formuleret.
En hindring kan være jeres egne spor. Gemmes logs kortere end perioden, eller er sagerne ikke registreret, kan perioden ikke efterprøves. Mere om sporene står i systemernes egne spor, og om udvælgelsen i stikprøver i en audit.
Hvilken af dem modtageren har brug for
Bestyrelsen, der vil vide, om virksomheden har styr på sin sikkerhed, får mest ud af en periode. Den viser, om kontrollerne holder i hverdagen. Et første øjebliksbillede kan dog være det rigtige sted at begynde, hvis der aldrig har været en audit før.
En kunde, der beder om dokumentation, kan spørge, hvilken periode den dækker. Erklæringer, som leverandører får udarbejdet til deres kunder, kan dække enten et tidspunkt eller en periode. Hvordan kunden læser den slags, behandles under leverandørens erklæringer set fra kunden.
NIS 2 og kravet om det løbende
For virksomheder omfattet af NIS 2-loven peger reglerne mod det løbende. Det er en tolkning, men den hviler på formuleringerne. Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger kræver, at enheden løbende vurderer de implementerede foranstaltninger og løbende vurderer behovet for tekniske test. Vejledningen om ledelsens rolle siger, at ledelsesorganet skal sikre, at foranstaltningerne har den fornødne effekt.
Forordning 2024/2690 kræver for sine digitale enheder, at der gennemføres uafhængige gennemgange med planlagte mellemrum. Et enkelt øjebliksbillede viser ikke i sig selv noget løbende. En række øjebliksbilleder med jævne mellemrum, eller en audit, der dækker en periode, kommer tættere på. Om hyppigheden kan I læse i gentagelse af NIS2-auditten.
Sådan skriver I det ind i opdraget
Opdraget bør sige, om auditten skal udtale sig om en dato eller en periode, og i så fald hvilken. Det påvirker omfanget, fordi en periode kræver mere bevis og flere stikprøver. Rapporten bør gentage valget i sin konklusion, så den ikke bliver læst som mere, end den er. Opdraget er beskrevet i sådan bestiller I en sikkerhedsaudit.
En mellemvej er en kombination. Auditten giver et øjebliksbillede af design og indførelse for alle områder og en vurdering over en periode for de få kontroller, der betyder mest, fx adgangsstyring og backup. Det holder omfanget nede, og rapporten kan stadig sige noget om virkning, hvor det tæller. Valget bør stå i rapporten for hvert område.
Hvad det kræver, og hvad det koster at lade være
Et øjebliksbillede kræver adgang og materiale, som det ser ud nu. En periode kræver desuden, at spor, sager og referater er gemt for hele perioden, og at I kan levere fuldstændige lister at vælge stikprøver fra.
Bestiller I et øjebliksbillede og bruger det som bevis for en periode, giver I modtageren et forkert indtryk. Det kan vende sig mod jer, hvis der senere sker noget i den periode, rapporten så ud til at dække.
Det skal I lade være med
- At bestille uden at nævne tidsramme · så bliver konklusionen et øjebliksbillede af sig selv.
- At bruge et øjebliksbillede som bevis for drift over tid · det dækker kun dagen.
- At slette spor, før perioden er auditeret · så kan den ikke efterprøves.
Det skal auditten kunne vise
- ☐ Om konklusionen gælder en dato eller en periode, og hvilken.
- ☐ Bevis, der dækker hele den periode, konklusionen gælder.
- ☐ Stikprøver valgt på tværs af perioden.
- ☐ Hvor sporene ikke rækker tilbage, og hvad det betyder for konklusionen.
Kilder
- IAASB, ISA 315 (Revised 2019) med følgeændringer til ISA 330, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, bilag C, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 13.3, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 2.3.4, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem rapporten er til, og om modtageren skal kunne se en dag eller en periode.
Læs også: Hvor ofte skal en virksomhed uden lovkrav have en sikkerhedsaudit? · Egenkontrol og årshjul
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
