Efter NIS 2-loven kan myndigheden kræve, at jeres virksomhed får et kvalificeret uafhængigt organ til at foretage en sikkerhedsaudit, og at resultaterne stilles til rådighed for myndigheden. Omkostningerne bæres som udgangspunkt af den enhed, der bliver auditeret, mens loven ikke fastlægger, hvordan organet udpeges.
Det er den form for audit, der har de største følger. Her gennemgår vi lovteksten og bemærkningerne og markerer, hvor kilderne er tavse.
Hjemlen
For væsentlige enheder står beføjelsen i § 21, stk. 1, nr. 2. Myndigheden kan foretage “regelmæssige og målrettede” sikkerhedsaudits eller kræve, at enheden får et kvalificeret uafhængigt organ til at foretage dem. For vigtige enheder er hjemlen § 24, stk. 1, nr. 2, og her er det kun målrettede audits, og de kommer efter indikationer på, at kravene ikke er overholdt. Forskellen mellem de to slags enheder er gennemgået i væsentlig eller vigtig enhed.
Begge bestemmelser siger, at resultaterne stilles til rådighed for den kompetente myndighed. Rapporten bliver altså ikke jeres alene, som den gør ved en audit, I selv bestiller. Forskellen er uddybet i audit og tilsyn.
Hvem vælger organet?
Hverken loven eller de bemærkninger, vi har læst, siger, hvem der vælger organet, eller hvilke kvalifikationer det skal have. Ordlyden “stille krav om, at enheden får” peger på, at det er jer, der skaffer organet. Det er en tolkning, og den kan ændre sig, hvis myndigheden fastsætter noget andet i den konkrete afgørelse.
Vi har ikke fundet en myndighed, der har offentliggjort kriterier for eller en liste over kvalificerede uafhængige organer. Søgningen omfattede Styrelsen for Samfundssikkerheds og Digitaliseringsstyrelsens sider og var ikke udtømmende. Spørg derfor myndigheden, før I indgår en aftale, hvilke krav organet skal opfylde, og få svaret skriftligt.
Det betyder også, at ingen rådgiver i dag kan henvise til en godkendelse som “kvalificeret uafhængigt organ”. Spørg i stedet til uafhængighed, faglig baggrund og erfaring. Spørgsmålene står i valg af auditor til NIS2.
Hvad bygger auditten på?
Bemærkningerne gengiver direktivets artikel 32, stk. 2. Målrettede audits baseres på risikovurderinger foretaget af myndigheden eller af den reviderede enhed, eller på andre tilgængelige risikorelaterede oplysninger. Myndigheden kan altså have et bestemt emne i tankerne. Læs afgørelsen grundigt for at se, hvad den peger på, og afgræns opdraget til organet efter det.
Hvem betaler?
Bemærkningerne gengiver direktivets regel om, at omkostningerne ved en målrettet audit udført af et uafhængigt organ afholdes af den reviderede enhed. Undtagelsen er behørigt begrundede tilfælde, hvor myndigheden bestemmer andet. Regn derfor med, at udgiften er jeres, og at den ikke er noget, I selv kan vælge fra.
Anbefalingerne bagefter
Når auditten er gennemført, kan myndigheden påbyde jer at gennemføre de anbefalinger, der er fremsat i forbindelse med den Hjemlen er § 22, nr. 6, og for vigtige enheder § 25, nr. 5. Ifølge bemærkningerne er et påbud en forvaltningsretlig afgørelse, og forvaltningslovens regler gælder, bl.a. om partshøring og begrundelse. Høringen før en afgørelse er beskrevet i varsel om påbud.
At undlade at efterkomme et påbud om at gennemføre anbefalingerne straffes med bøde (§ 32, stk. 1, nr. 3). Bemærkningerne nævner desuden, at manglende efterlevelse af selve kravet om audit kan straffes efter både § 32, stk. 1, nr. 4 og nr. 5.
Sådan forbereder I jer
Det, der kan forberedes, er det samme materiale, som enhver audit bruger. Godkendte politikker, risikovurderingen, referater fra ledelsesorganet og bevis for, at foranstaltningerne virker. En bevismappe ordnet efter lovens ti foranstaltninger sparer tid, uanset hvem der har bestilt auditten.
Tænk også på adgangen. Organet skal kunne tale med de rigtige personer og se de rigtige systemer inden for den frist, myndigheden har sat. Udpeg én kontaktperson, som har mandat til at åbne døre.
Når I allerede har en audit i gang
Det følgende er praksis. Har I selv bestilt en audit, når kravet fra myndigheden kommer, kan noget af materialet bruges igen. Det afhænger af, om omfang og kriterier passer til det, myndigheden har peget på. Spørg myndigheden, før I regner med det. Og hold de to forløb adskilt i jeres papirer, så det er tydeligt, hvilken rapport der er lavet efter hvilket opdrag.
Hvad det kræver, og hvad det koster at lade være
En pålagt audit kræver tid af ledelse, IT og leverandører, ofte inden for en frist, I ikke selv har valgt. Jo mere der ligger klar på forhånd, jo mindre forstyrrer den driften.
At trække tiden eller levere et mangelfuldt grundlag kan få følger efter § 32. Og anbefalinger, der ikke bliver fulgt, kan blive til et påbud med frist.
Det skal I lade være med
- At vælge organ uden at spørge myndigheden om kravene · loven fastlægger dem ikke.
- At afgrænse opdraget bredere eller smallere end afgørelsen · auditten skal svare på det, myndigheden har peget på.
- At vente med handlingsplanen til et påbud kommer · anbefalingerne kan blive bindende.
Det skal auditten kunne vise
- ☐ Afgørelsen fra myndigheden med hjemmel, formål og frist.
- ☐ Myndighedens svar om krav til organet, hvis I har spurgt.
- ☐ Aftalen med organet med omfang, adgang og levering af resultater til myndigheden.
- ☐ En handlingsplan for anbefalingerne med ejer og frist.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21, 22, 24, 25 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til §§ 21, 22 og 32, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kræver NIS 2-loven en audit? · Fra fund til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
