Styrelsen for Samfundssikkerheds vejledning regner OT, altså de systemer, der styrer maskiner og anlæg, med til de net- og informationssystemer, NIS 2-loven omfatter. Samtidig giver vejledningen OT nogle lempelser, fordi anlæggene ikke altid tåler de metoder, der bruges i almindelig IT, og en audit skal både kontrollere OT og bruge lempelserne rigtigt.
Artiklen handler om den organisatoriske audit af OT. Den tekniske gennemgang af anlæggene og test af fysiske produkter ligger uden for.
OT er med
Lovteksten nævner ikke OT med navn. Lovens begreb for systemerne i § 3, nr. 21 favner dog alt udstyr, der automatisk behandler digitale data. Vejledningen om foranstaltningerne, 1. udgave juni 2025, gør det tydeligt. Dens ordliste definerer hændelse med en henvisning til OT-systemer (Operational Technology) og nævner OT-systemer og IoT-enheder som eksempler på net- og informationssystemer.
Det er altså vejledningen, der regner OT med. For en produktionsvirksomhed betyder det, at styresystemer, SCADA og udstyr på fabriksgulvet hører med i risikovurderingen, i kontinuitetsplanen og i auditten. Hvordan resten af afgrænsningen laves, står i afgrænsning af NIS2-auditten.
IEC 62443-henvisningerne
Vejledningen henviser til to dele af standardserien IEC 62443 i sin liste over standarder: DS/IEC 62443-2-1:2011 og DS/EN IEC 62443-3-3:2019. Under driftskontinuitet bruger vejledningen 2013-udgaven af 62443-3-3.
Har jeres OT-arbejde allerede taget udgangspunkt i IEC 62443, kan henvisningerne bruges til at finde det dokumentation, auditten skal bruge. Også her gælder vejledningens generelle forbehold om, at en standard støtter arbejdet uden at bevise, at loven er overholdt. Standardens indhold er ikke gennemgået her. Henvisningerne er samlet i standardhenvisningerne i vejledningen.
Tre lempelser, auditten skal kende
Vejledningen har tre steder, hvor den tager hensyn til OT. De er formuleret som muligheder, og auditten skal kontrollere, at de er brugt med begrundelse.
Gendannelse. Under backup (afsnit 3.b) skriver vejledningen, at alternative gendannelsesmetoder også kan accepteres i OT-miljøer, hvor oppetid er kritisk. Eksemplerne er kopier af konfigurationsfiler, systemredundans og hurtigt skifte til forudkonfigurerede enheder. Auditten kontrollerer, at metoden er valgt efter en vurdering, og at den er afprøvet.
Sårbarhedsscanning. Under sårbarhedshåndtering (5.b) advarer vejledningen om, at en aktiv scanning i et OT-miljø kan forstyrre driften eller stoppe den, og at passive metoder som monitorering og analyse af netværkstrafik kan bruges i stedet. Auditten kontrollerer, at den passive metode faktisk er i brug, og at resultaterne bliver fulgt op.
Tekniske test. Under vurderingen af behovet for tekniske test (6.b) gælder samme hensyn. Behovet og frekvensen skal fastlægges ud fra risikovurderingen, og for OT kan det betyde andre testformer end i IT. Se beslutningen om tekniske test.
En lempelse fritager ikke for målet. Den, der bruger en alternativ metode, skal stadig nå det mål, kravet har. Det er en læsning af vejledningens formuleringer.
Styrelsens egne eksempler
Vejledningen har tænkte eksempler med en produktionsvirksomhed, der bruger SCADA, ERP og produktionsstyring. Eksemplerne rejser spørgsmål om, hvad minimumsdrift er, hvilke manuelle processer der kan bruges, hvor lang tid genopretningen må tage, og om planen er afprøvet. Et andet eksempel handler om leverandører, der opdaterer produktionssystemer, og om firmware på udstyr med lang levetid.
Eksemplerne er styrelsens og ikke krav. De er dog nyttige som interviewspørgsmål i en audit, fordi de viser, hvad styrelsen selv har haft i tankerne.
Det, auditten særligt ser på i OT
Ud over lempelserne er der tre områder, hvor OT ofte adskiller sig. Det er en faglig vurdering.
Leverandørerne. Maskinleverandører har ofte fjernadgang til anlæggene for at levere service. Adgangen bør være med i leverandørstyringen og i adgangsstyringen og være synlig i logningen.
Ejerskab. OT ejes ofte af produktionen og ikke af IT. Auditten bør afklare, hvem der er risikoejer for anlæggene, og om vedkommende kender sit ansvar.
Aktiverne. Gammelt udstyr, der ikke kan opdateres, bør stå i aktivregistret, og den risiko, det giver, bør være accepteret af den rette.
Den tekniske gennemgang af opsætningen af de enkelte OT-komponenter er et emne for sig. Det samme er målingen af, hvordan OT-sikkerheden modnes over tid i en større organisation.
Hvad det kræver, og hvad det koster at lade være
En audit med OT kræver, at en fra produktionen deltager ved siden af IT, og at auditor har adgang til anlægsdokumentation, leverandøraftaler og eventuelt til at se anlæggene. Lempelserne kræver, at begrundelserne findes skriftligt.
Holdes OT uden for, mangler auditten den del af enheden, hvor en hændelse ofte har de mest synlige følger. Bruges lempelserne uden begrundelse, står virksomheden med en praksis, der ligner et fravalg uden dokumentation.
Det skal I lade være med
- At holde produktionen uden for auditten · vejledningen regner OT med.
- At bruge en lempelse som fritagelse · målet med kravet gælder stadig.
- At scanne OT aktivt uden at vurdere risikoen · vejledningen peger på passive metoder.
Det skal auditten kunne vise
- ☐ OT-systemer og IoT-enheder med i risikovurderingen og aktivoversigten.
- ☐ Begrundelse for alternative gendannelsesmetoder og bevis for, at de er afprøvet.
- ☐ Passiv overvågning i brug, hvor aktiv scanning er fravalgt.
- ☐ Leverandørernes fjernadgang til anlæggene med i adgangsstyringen.
- ☐ En risikoejer for OT.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Gå en tur på fabriksgulvet med jeres aktivoversigt, og se efter, om alt med en netværksforbindelse står på den.
Læs også: Audit af backup og gendannelse · Audit af sårbarhedshåndtering og opdatering · NIS2-audit i det forbrugerejede vandværk
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
