Ordliste

Ordene her bruges, når en sikkerhedsaudit eller en NIS2-audit bestilles, gennemføres og følges op. Forklaringerne er korte og forenklede. Hvor et ord er defineret i NIS 2-loven eller i forordning 2024/2690, bygger forklaringen på den, og hvor sitet har en artikel om ordet, er der et link. Bruger jeres aftale eller auditor et ord i en bestemt betydning, er det den, der gælder for jer.

Auditten

• Audit · en systematisk og uafhængig gennemgang, hvor bevis holdes op mod aftalte kriterier, og resultatet skrives i en rapport. Læs mere.
• Sikkerhedsaudit · en audit af, hvordan virksomheden styrer og udfører sin IT-sikkerhed. Kaldes også cybersikkerhedsaudit eller IT-sikkerhedsaudit.
• IT-sikkerhedstjek · en kortere gennemgang af de vigtigste områder for en mindre virksomhed med en kort, prioriteret rapport. Læs mere.
• NIS2-audit · en audit målt mod kravene i NIS 2-loven og, for digitale enheder, forordning 2024/2690. Læs mere.
• Revision · på dansk ofte brugt om revisors arbejde efter revisorloven. Ordet bruges også løst om andre gennemgange, og derfor bør aftalen beskrive resultatet. Læs mere.
• Intern audit · en audit, virksomheden selv bestiller af sig selv, med egne folk eller en ekstern auditor. Læs mere.
• Ekstern audit · en audit, som en kunde, et certificeringsorgan eller en anden udenforstående udfører til eget brug.
• Certificeringsaudit · den audit, et certificeringsorgan udfører for at afgøre, om virksomheden kan få eller beholde et certifikat. Læs mere.
• Gap-analyse · en kortlægning af, hvad der mangler i forhold til et krav, typisk tidligt i arbejdet. Læs mere.
• Auditor · den person, der udfører auditten. Personlige certificeringer siger noget om uddannelsen, men godkender ikke auditten. Læs mere.
• Uvildig · uden interesse i, hvad auditten finder: ingen forhandleraftaler, intet salg bagefter og ingen kontrol af eget arbejde. Læs mere.

Opdrag og planlægning

• Opdrag · den korte, skriftlige beskrivelse af formål, kriterier, omfang, modtager og leverance. Læs mere.
• Auditkriterier · den målestok, beviset holdes op imod, fx en politik, et rammeværk, en kundes krav eller en lov. Læs mere.
• Omfang · de processer, systemer, lokationer og leverandører, auditten dækker. Kaldes også scope. Læs mere.
• Auditplan · beskrivelsen af én audit: hvad, hvornår og hvordan.
• Auditprogram · flere audits fordelt over en længere periode, så områderne gennemgås på skift. Læs mere.
• Auditaftale · aftalen om omfang, adgang, fortrolighed, opbevaring og ansvar, før auditor går i gang. Læs mere.

Bevis og metode

• Auditbevis · det, en konklusion bygger på: dokumenter, interviews, observation og teknisk afprøvning. Læs mere.
• Bevismappe · det samlede materiale ordnet efter kravene, så det kan bruges af både auditor og tilsyn. Læs mere.
• Stikprøve · et udvalg af sager, auditor efterprøver i stedet for at se på dem alle. Læs mere.
• Walkthrough · en metode, hvor én sag følges fra start til slut gennem processen. Læs mere.
• Audit trail · systemernes egne spor af, hvad der er sket, og hvornår. Læs mere.
• Design, indførelse og virkning · de tre niveauer, en foranstaltning kan efterprøves på. Læs mere.
• Øjebliksbillede og periode · om auditten udtaler sig om én dag eller om et tidsrum. Læs mere.
• Tjekliste · et arbejdsredskab, der sikrer, at intet område glemmes. Den er ikke selv kriteriet. Læs mere.

Fund og opfølgning

• Fund · en konstateret forskel mellem det, kriteriet kræver, og det, beviset viser.
• Observation · et forhold, auditor noterer uden at det er et fund, fx en svaghed, der kan udvikle sig til et.
• Klassificering · den skala, fund placeres på, fx opfyldt, delvist opfyldt og ikke opfyldt. Læs mere.
• Høring · den runde, hvor virksomheden kan rette faktuelle fejl i en foreløbig rapport. Læs mere.
• Handlingsplan · fundene omsat til opgaver med ejer, frist og ressourcer. Læs mere.
• Risikoaccept · en dokumenteret beslutning om at leve med en risiko. Den kan ikke bruges til at lade et uopfyldt minimumskrav stå. Læs mere.
• Lukkebevis · beviset for, at handlingen faktisk har løst det, fundet beskrev. Læs mere.
• Opfølgningsaudit · en ny gennemgang af de fund, der er meldt lukket.
• Årshjul · en kalender over egne kontroller, gennemgange og øvelser mellem de eksterne audits. Læs mere.

Erklæringer og standarder

• Erklæring · en udtalelse med en bestemt grad af sikkerhed, som en revisor afgiver efter en standard, ofte til modtagere uden for virksomheden. Læs mere.
• ISAE 3402 · en international standard for erklæringer om kontroller hos en serviceleverandør, der har betydning for kundernes regnskab.
• ISAE 3000 · en international standard for andre erklæringer med sikkerhed, også om IT-sikkerhed og NIS 2. Læs mere.
• ISO 27001 · en international standard for ledelsessystemer for informationssikkerhed, som man kan certificeres efter. Læs mere.
• CIS Controls · en liste over 18 sikkerhedskontroller med implementeringsgrupper, hvoraf IG1 er det grundlæggende udsnit. Læs mere.
• D-mærket · en dansk mærkningsordning for IT-sikkerhed og ansvarlig databrug. Læs mere.

NIS 2

• NIS 2-loven · den danske gennemførelse af NIS 2-direktivet, vedtaget som lov nr. 434 i maj 2025. Læs mere.
• Væsentlig enhed og vigtig enhed · lovens to kategorier af omfattede virksomheder. Kravene er de samme, tilsynet og sanktionerne er forskellige. Læs mere.
• Digital enhed · her brugt om de udbydere af bl.a. administrerede tjenester, cloud, hosting og datacentre, som forordning 2024/2690 gælder for. Læs mere.
• Forordning 2024/2690 · EU’s gennemførelsesforordning med bindende krav i et bilag for digitale enheder. Læs mere.
• Ledelsesorgan · det organ, der leder virksomheden, typisk bestyrelse og direktion. Efter § 7 har det ansvaret for at godkende og overvåge foranstaltningerne. Læs mere.
• Foranstaltninger · de tekniske, driftsmæssige og organisatoriske tiltag, § 6 kræver, herunder de ti minimumspunkter. Læs mere.
• Risikoejer · den person, der har ansvaret for en risiko og accepterer det, der er tilbage af den. Læs mere.
• Effektivitetsvurdering · de politikker og procedurer, der bedømmer, om foranstaltningerne virker. Læs mere.
• Væsentlig hændelse · en hændelse, der udløser pligten til at underrette myndigheden inden for lovens frister. Læs mere.
• CSIRT · myndighedens enhed for håndtering af it-sikkerhedshændelser, som modtager underretninger. Læs mere.
• Kvalificeret uafhængigt organ · den part, myndigheden kan kræve, at en sikkerhedsaudit udføres af. Læs mere.
• Kritisk enhed · en virksomhed identificeret efter CER-loven. Den bliver samtidig væsentlig enhed efter NIS 2-loven. Læs mere.

Senest gennemgået: november 2026.

Næste skridt

• Hvad er en sikkerhedsaudit, og hvilke spørgsmål svarer den på?
• Spørgsmål om sikkerhedsaudit

Læs også: Seks slags sikkerhedsaudit · Auditmetode og bevis

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT