Har I lagt IT-driften ud, gælder NIS 2-lovens krav stadig for jer. Auditten kontrollerer derfor først jeres egen del, altså styringen af leverandøren, aftalen, opfølgningen og jeres eget ansvar for underretning, og først derefter, hvad leverandøren skal svare på.
Det er let at tro, at en driftsaftale flytter ansvaret med over til leverandøren. Vejledningen siger det modsatte, og det er udgangspunktet for hele afgrænsningen.
Ansvaret bliver hos jer
Styrelsen for Samfundssikkerheds vejledning om foranstaltningerne skriver i formålsafsnittet, at kravene gælder, uanset om de omfattede enheder selv driver og vedligeholder deres net- og informationssystemer eller outsourcer driften og vedligeholdelsen.
Vejledningen om hændelsesunderretning er lige så klar på sit område. Har enheden købt eller lagt vedligeholdelsen af sine systemer ud, er det ved en væsentlig hændelse enhedens ansvar at underrette CSIRT’en og den relevante myndighed. En aftale om, at driftsleverandøren underretter på enhedens vegne, er mulig, men ansvaret for, at det sker rettidigt, ligger altid hos enheden. Hvordan sådan en aftale kontrolleres, står i leverandøren underretter på jeres vegne.
Det, auditten ser på hos jer
Langt det meste af auditten kan gennemføres hos jer selv, uden at leverandøren skal auditeres. Fire områder er centrale.
Leverandørstyringen. Vejledningens kapitel 4 kræver procedurer for leverandørstyring, der sikrer forsynings- og cybersikkerheden hos de direkte leverandører, i det omfang deres ydelser kan påvirke de tjenester, der gør jer omfattet. Procedurerne skal gøre jer i stand til at identificere og vurdere risici ved bestemte leverandører og til at indgå aftaler, der sikrer kravene. Auditten kontrollerer, at procedurerne findes, og at de er brugt på driftsleverandøren. Se audit af jeres leverandørstyring.
Aftalen. Vejledningen nævner som kan-punkter, hvad en aftale kan indeholde: sikkerheds- og lovkrav, pligt til at underrette om hændelser og bistå med jeres rapportering, samarbejde ved tilsyn, jeres ret til revision og/eller ret til at modtage revisionsrapporter, sårbarhedshåndtering, underleverandører og forpligtelser ved ophør. Auditten læser aftalen og holder den op mod jeres risikovurdering.
Opfølgningen. Vejledningen anbefaler, at I følger op på, om leverandøren overholder kravene, fx gennem servicemål og revisionsmekanismer, og at ændringer i leverandørens praksis overvåges. Auditten ser efter spor: referater fra driftsmøder, modtagne rapporter, hændelser og hvad I gjorde med dem.
Jeres egen del af driften. Selv med fuld outsourcing har I ting, kun I kan gøre: godkende adgange, beslutte om risici, føre aktivoversigt over det, I ejer, og underrette. Den del er jeres, og auditten tester den som hos enhver anden. Særligt bør auditten se på, om I selv har folk, der kan vurdere en hændelse, når leverandøren melder den, og om I kan nå fristerne for varsling og rapportering.
Hvornår leverandøren skal svare
Nogle spørgsmål kan kun leverandøren besvare. Hvordan de håndteres, er praksis.
Det første valg er, om jeres eget materiale rækker. Har I modtaget rapporter, erklæringer eller dokumentation fra leverandøren, og dækker de det, auditten har brug for, kan auditor bruge dem. Vejledningen om anvendelsesområdet bemærker, at en omfattet enhed ikke nødvendigvis skal kræve en særlig certificering eller revisionserklæring af sine leverandører. Der er altså ingen fast form.
Rækker materialet ikke, kan auditor bede om et interview med leverandørens ansvarlige eller om udtræk fra systemerne. Det kræver, at aftalen giver adgang. Har I aftalt revisionsret, kan I bruge den.
Skal leverandørens egen drift gennemgås i dybden, er det en leverandøraudit. Den hører hjemme i et andet opdrag med egne regler for adgang og fortrolighed, beskrevet under kundens revisionsret over for IT-leverandøren. Den tekniske kontrol af leverandørens opsætning følger de tekniske kontrolpunkter.
Et tænkt eksempel
En mellemstor transportvirksomhed har lagt servere, netværk og backup ud til en driftsleverandør. Auditten finder en god aftale med pligt til at underrette om hændelser, men ingen procedure for, hvem hos virksomheden der modtager meldingen uden for arbejdstid. Leverandøren er ikke auditeret, og fundet ligger hos virksomheden selv. Rettelsen er en intern procedure og et telefonnummer i aftalen.
Hvad det kræver, og hvad det koster at lade være
Auditten kræver aftalen med bilag, jeres leverandørprocedurer, referater fra opfølgning og de rapporter, I har fået fra leverandøren. Den kræver også, at nogen hos jer kan forklare, hvordan samarbejdet fungerer i praksis.
Uden auditten af jeres egen del står I med en aftale, som ingen har prøvet. Ved en hændelse viser det sig, om meldingen når frem, om nogen hos jer kan vurdere den, og om fristen på 24 timer holder. Det er sent at opdage hullet dér.
Det skal I lade være med
- At tro, at aftalen flytter ansvaret · ansvaret for underretningen påhviler altid jer.
- At auditere leverandøren, før jeres egen styring er kontrolleret · de fleste svar ligger hos jer.
- At kræve en erklæring som eneste form · vejledningen stiller ikke det krav.
Det skal auditten kunne vise
- ☐ Procedurer for leverandørstyring, brugt på driftsleverandøren.
- ☐ Aftalen holdt op mod risikovurderingen, med underretning, tilsyn og ophør.
- ☐ Spor af løbende opfølgning på leverandøren.
- ☐ Jeres egen procedure for at modtage og vurdere leverandørens melding om hændelser.
- ☐ Hvilke spørgsmål der krævede svar fra leverandøren, og hvordan de blev besvaret.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find driftsaftalen frem, og se efter, hvad den siger om underretning, tilsyn og jeres adgang til dokumentation.
Læs også: Afgrænsning af NIS2-auditten · I har en ISAE-erklæring
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
