Punkt 2.2 i bilaget til forordning 2024/2690 kræver, at en digital enhed jævnligt gennemgår, om politikkerne overholdes, og at ledelsesorganerne får en rapport om det. Rapporteringen skal give ledelsen et informeret overblik over, hvor virksomheden står med sin risikostyring.
Kravet rammer de enheder, forordningen gælder for, fx en hostingvirksomhed med cloudtjenester eller en MSP. Her er teksten bindende. Auditten spørger derfor ikke, om I bør have en rapportering. Den spørger, om rapporteringen findes, om den bygger på reelle evalueringer, og om ledelsen får den.
Hvad punkt 2.2 siger
Punkt 2.2.1 siger, at enhederne regelmæssigt gennemgår overholdelsen af deres politikker for net- og informationssystemsikkerhed, emnespecifikke politikker, regler og standarder. Ledelsesorganerne underrettes gennem regelmæssig rapportering på grundlag af evalueringer af overholdelsen.
Punkt 2.2.2 kræver et effektivt system til rapportering om overholdelse. Systemet skal kunne give ledelsesorganerne et informeret overblik over den aktuelle situation med hensyn til risikostyringen.
Punkt 2.2.3 lader enheden planlægge hyppigheden selv og kræver en ekstra overvågning, når driften eller risikobilledet ændrer sig væsentligt, eller når en væsentlig hændelse indtræffer.
Et antal måneder står der ikke. Sådan er de fleste af bilagets punkter skrevet.
Hvad ENISA anbefaler
I juni 2025 kom ENISA med en rådgivende vejledning. Den anbefaler en standardrapport til ledelsen med nøgletal, status for overholdelse inklusive undtagelser, identificerede risici og anbefalede handlinger. Den anbefaler, at overvågningen finder sted mindst én gang om året.
ENISA anbefaler også procedurer, der beskriver formålet, hvilke politikker der er omfattet, hyppigheden, hvem der udfører gennemgangen, og hvilke skabeloner der bruges. Gennemgangen kan efter ENISA laves internt eller eksternt.
“Mindst årligt” er altså ENISA’s anbefaling. Forordningens krav er planlagte mellemrum. En auditor kan bruge ENISA’s interval som målestok for, hvad der er rimeligt, men kan ikke skrive et fund alene fordi intervallet er længere, hvis det er begrundet.
Forskellen fra lovens krav
Enheder, der ikke er omfattet af forordningen, har et beslægtet krav i NIS 2-lovens § 6, stk. 1, nr. 6. Det handler om at have politikker og procedurer, der vurderer effektiviteten. Det er formuleret mere åbent. Punkt 2.2 beskriver mere præcist, at der skal være et rapporteringssystem, og hvem der skal have rapporterne. Sammenligningen er en tolkning, og kravet i loven er beskrevet i effektivitetsvurderingen.
Rapportering og overvågning er to ting
Punkt 2.2 handler om to led. Først gennemgangen af, om reglerne følges. Dernæst rapporten til ledelsen. Auditor ser på begge, fordi det ene let findes uden det andet.
En virksomhed kan have et dashboard med grønne felter, der aldrig når bestyrelsen. En anden kan have en kvartalsrapport til ledelsen, hvor tallene er skrevet ud fra hukommelsen. I begge tilfælde er punkt 2.2 kun halvt opfyldt.
Sådan prøver auditor punktet
Auditor beder om proceduren for overvågningen og de seneste rapporter til ledelsesorganerne. Datoerne viser, om de planlagte mellemrum overholdes. Referaterne fra ledelsens møder viser, om rapporten er blevet behandlet.
Dernæst følger auditor nogle tal i rapporten tilbage til kilden. Står der, at alle administratorkonti har multifaktor-autentificering, beder auditor om udtrækket, der viser det. Kan tallet ikke spores, er rapporten ikke bygget på en evaluering. Det har sin egen artikel om tallene bag ledelsesrapporteringen.
Auditor ser også efter, om undtagelserne står i rapporten. Fravalg efter artikel 2, stk. 2, er en del af den aktuelle situation, og ledelsen bør kende dem. Det kobler punkt 2.2 til begrundelserne efter artikel 2, stk. 2.
Til sidst ser auditor efter spor af en ekstra rapport efter en væsentlig hændelse eller ændring. Har virksomheden flyttet sit datacenter eller haft en stor hændelse, uden at ledelsen har fået en opdateret status, er kravet i 2.2.3 ikke fulgt.
Hvad rapporten bør indeholde
Forordningen beskriver ikke rapportens indhold ud over, at den skal give et informeret overblik. ENISA’s forslag er et fornuftigt udgangspunkt. En kort rapport med status pr. politik, åbne fravalg, de største risici og forslag til beslutninger giver ledelsen noget at tage stilling til. En lang liste over kontroller uden konklusion gør det sjældent.
Punkt 2.3.3 kobler overvågningen til den uafhængige gennemgang. Resultaterne af overvågningen efter 2.2 skal med i det, der rapporteres til ledelsen efter gennemgangen. Gennemgangen har sin egen artikel om punkt 2.3 og upartiskheden.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrevet procedure, en fast skabelon og en aftale om, hvornår rapporten kommer på ledelsens dagsorden. Tallene skal kunne hentes fra systemerne og ikke fra et skøn. Den sikkerhedsansvarlige står typisk for rapporten, og ledelsen for at behandle den.
Uden rapporteringen kender ledelsen ikke status, og den kan ikke tage det ansvar, loven giver den. Et tilsyn vil se efter netop sporet fra overvågning til ledelse, og det spor kan ikke laves bagud.
Det skal I lade være med
- At lade overvågningen ende i IT-afdelingen · punkt 2.2.1 kræver, at ledelsesorganerne underrettes.
- At skrive status uden at kunne vise kilden · rapporten skal bygge på evalueringer.
- At præsentere ENISA’s interval som forordningens krav · forordningen siger planlagte mellemrum.
Det skal auditten kunne vise
- ☐ En procedure for overvågning af overholdelse med formål, omfang og hyppighed.
- ☐ Daterede rapporter til ledelsesorganerne i de planlagte mellemrum.
- ☐ Referater, der viser, at ledelsen har behandlet rapporterne.
- ☐ Tal i rapporterne, der kan spores til udtræk eller evalueringer.
- ☐ En ekstra rapport efter væsentlige hændelser eller ændringer.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilaget punkt 2.2 og 2.3, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- ENISA, Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690, version 1.0, juni 2025, pkt. 2.2.1 til 2.2.3, https://www.enisa.europa.eu/sites/default/files/2025-06/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag den seneste statusrapport til ledelsen, og find kilden til tre af tallene i den.
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Egenkontrol og årshjul
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
