En øvelse tæller som bevis, når den efterlader et spor, en udenforstående kan følge: hvilket scenarie der blev øvet, hvem der deltog, hvad der gik galt, og hvad der blev ændret bagefter. Vejledningen til NIS 2-loven kræver ingen bestemt form, så det er sporet, auditor vurderer.
Mange virksomheder har holdt en øvelse og husker den godt. Uden papirerne er det svært at vise for andre end dem, der var med.
Det, vejledningen siger om krisestyring
Krisestyring hører i loven under driftskontinuiteten i § 6, stk. 1. Her bliver kravet konkret i myndighedens vejledning fra juni 2025, som pålægger enheden at tage stilling til, om den har brug for en beredskabsplan med procedurer for krisestyring.
Kravet er altså at vurdere behovet. Finder enheden et behov, bør den efter vejledningen etablere og dokumentere procedurerne. Procedurerne kan omfatte cybersikkerhed under krisen, roller inklusive leverandørernes og kanaler til myndighederne, herunder underretning inden for fristerne. Enheden bør også have en proces for at bruge oplysninger, der kommer fra CSIRT’en og myndigheden.
For auditten betyder det, at første spørgsmål er, om behovsvurderingen findes. Har I konkluderet, at der ikke er behov for en plan, skal konklusionen og begrundelsen kunne vises.
Øvelser er en anbefaling
Om øvelser skriver vejledningen, at der bør gennemføres øvelser regelmæssigt, som kan belyse, om planen for krisestyring virker efter hensigten. Bagefter bør de nødvendige ændringer i planen implementeres og dokumenteres.
Der står ikke, hvor ofte. Ordet “årlig” findes i vejledningen ét sted, som et eksempel ved nødkommunikation, der kan indgå i en årlig krisestyringsøvelse. Det er ikke et krav om årlige øvelser. Har I valgt at øve sjældnere, eller slet ikke, har I valgt en anbefaling fra, og tilsynet kan bede om grunden, set i forhold til jeres risiko. Om vejledningens tre styrkegrader kan I læse i skal, bør og kan som kriterier.
Hvad der kan bruges som bevis
Afsnittet her er almindelig auditpraksis, fordi vejledningen ikke kræver en bestemt form. Det beskriver, hvad en auditor typisk kan bruge.
Planen for øvelsen. Et kort dokument med formål, scenarie, deltagere og hvad der skulle afprøves. Det viser, at øvelsen var tilrettelagt, og hvilken del af planen den testede.
Deltagerlisten. Navne og roller. Den viser, om de rigtige var med, fx om ledelsen, IT, kommunikation og en driftsleverandør deltog, hvis planen giver dem en rolle.
Forløbet. Noter eller en log med tidspunkter. Den viser, hvad der skete undervejs, hvor længe beslutningerne tog, og hvor der opstod tvivl.
Evalueringen. Det, der gik godt, og det, der ikke gjorde. Den er det vigtigste stykke papir, fordi den viser, at øvelsen førte til læring.
Opfølgningen. En ændret plan, en ny kontaktliste, en opgave i en handlingsplan. Den lukker sløjfen og svarer til vejledningens anbefaling om at implementere og dokumentere ændringerne.
En deltagerliste alene viser, at folk var i samme rum. Først evalueringen og opfølgningen viser, at øvelsen havde en virkning.
Hvilke øvelser auditor kan bruge
En øvelse ved bordet, hvor deltagerne taler et scenarie igennem, er nem at holde og giver et godt spor. En funktionel øvelse, hvor en del af planen faktisk udføres, fx at skifte til nødkommunikation eller at genoprette et system, viser mere om, hvorvidt det kan lade sig gøre. Begge kan dokumenteres på samme måde.
Det giver mest, når øvelsen dækker noget, risikovurderingen peger på. Et scenarie, der ingen forbindelse har til jeres største risici, siger mindre om planen. Hvis øvelsen også afprøver underretningen med uret, hænger den sammen med audit af varsling og rapportering. Afprøves kommunikationen uden de normale systemer, er det nødkommunikation, som efter vejledningen kan indgå i en krisestyringsøvelse.
Når øvelsen er en rigtig hændelse
En rigtig hændelse, der er håndteret efter planen og evalueret bagefter, er også et spor. Vejledningen anbefaler en gennemgang efter væsentlige hændelser, og den evaluering kan vise det samme som en øvelse. Den kan næppe stå alene i stedet for planlagte øvelser, fordi den kun tester det scenarie, der tilfældigvis indtraf.
Da styrelsen i 2026 førte proaktivt tilsyn med kommunerne, spurgte den under krisestyring kun til behovsvurderingen. Private virksomheder var ikke modtagere af det skema.
Hvad det kræver, og hvad det koster at lade være
En dokumenteret øvelse kræver en kort skriftlig forberedelse, tid fra deltagerne og en evaluering bagefter, som en navngiven person har ansvaret for at skrive. Opfølgningen kræver en ejer, så den ikke forsvinder, når hverdagen tager over.
Uden øvelser ved I ikke, om planen virker, før den skal bruges. Uden dokumentationen kan I ikke vise, at I har øvet, og et fravalg af anbefalingen står uden begrundelse.
Det skal I lade være med
- At tro, at loven kræver en årlig øvelse · vejledningen anbefaler regelmæssige øvelser uden et fast interval.
- At gemme deltagerlisten og glemme evalueringen · evalueringen er det, der viser læring.
- At øve et scenarie, der ikke står i risikovurderingen · øvelsen skal teste den plan, I har brug for.
- At lade opfølgningspunkterne ligge · en øvelse uden ændringer bagefter mister det meste af sin værdi som bevis.
Det skal auditten kunne vise
- ☐ En dokumenteret vurdering af behovet for en beredskabsplan for krisestyring.
- ☐ Procedurer for krisestyring, hvis behovet er fundet.
- ☐ En plan, deltagerliste og evaluering for seneste øvelse.
- ☐ Ændringer i planen, der kan føres tilbage til øvelsen.
- ☐ En begrundelse, hvis I ikke har øvet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 3.d og 10.b, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find dokumentationen fra jeres seneste øvelse frem, og se efter, om der er en evaluering og mindst én ændring, der kom ud af den.
Læs også: Audit af hændelseshåndteringen · Hvad tæller som bevis i en NIS2-audit?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
