En audit af personalesikkerheden følger enkelte medarbejdere fra HR’s papirer til de adgange, de har i systemerne. Den nyansatte, der skiftede afdeling, og den, der fratrådte, er de tre forløb, der viser, om procedurerne virker i praksis.
Personalesikkerhed handler om, at de mennesker, der har adgang til systemerne, kender deres ansvar og lever op til det, og om, at adgangen følger med, når deres rolle ændrer sig.
Kravet
Personalesikkerhed deler nummer ni i lovens § 6, stk. 1, med adgangskontrol og aktiver. Bemærkningerne til loven, citeret i myndighedens vejledning fra juni 2025, beskriver målet som medarbejdere, der forstår deres ansvar, handler efter det og forpligter sig på det.
Vejledningen har ét “skal”: enheden skal sikre, at medarbejdere og, hvor relevant, leverandører er bekendt med og lever op til deres ansvar.
Det betyder, at leverandørernes folk kan være med i auditten. Konsulenter og driftspersonale, der arbejder i jeres systemer, er omfattet, hvor det er relevant. Hvordan I stiller krav til leverandørens personale og efterprøver dem, er emnet for krav til leverandørens medarbejdere og revisionsret.
Anbefalingerne og eksemplerne
Vejledningen anbefaler, at ansvar, der fortsat gælder efter fratræden eller rolleskift, defineres og kommunikeres. Det kan være tavshedspligt eller pligten til at returnere udstyr. Ansættelsesretlige regler ved overtrædelser bør også kommunikeres.
Som eksempler nævner vejledningen procedurer for hygiejne, for brugere med privilegeret adgang og for medlemmerne af ledelsesorganet. Sikkerhedsansvar kan skrives ind i kontrakter og ansættelsesaftaler. Baggrundskontrol kan bruges, hvor en risikovurdering af rollen tilsiger det. Det har sin egen artikel om baggrundskontrol efter tre regelsæt.
Om dokumentation nævner vejledningen procedurer for baggrundskontrol og aftrædelsessamtaler som eksempler. Den anbefaler, at nærmeste leder godkender kompetencer og retskaffenhed.
Ved ophør bør udleverede aktiver returneres eller slettes uigenkaldeligt. Politikken for adgangsrettigheder skal efter vejledningen også dække fjernelse af rettigheder. Den del står i audit af adgangsstyringen.
Enkeltforløbet som metode
Metoden herunder er almindelig auditpraksis og står ikke i vejledningen. Enkeltforløbet er en direkte vej til bevis. Metoden er forklaret mere generelt i sager fulgt hele vejen igennem.
Auditor beder HR om en liste over ansættelser, rolleskift og fratrædelser i en periode. Derefter vælges nogle af hver slags.
Ansættelsen. Fik medarbejderen en kontrakt med sikkerhedsansvar? Blev der lavet baggrundskontrol, hvis rollen krævede det? Fik medarbejderen grunduddannelse i sikkerhed? Hvilke adgange blev oprettet, hvem godkendte dem, og passer de til rollen?
Rolleskiftet. Blev de gamle adgange fjernet, da de nye blev givet? Det er her, rettigheder hober sig op, hvis ingen har ansvaret. Fik medarbejderen træning til den nye rolle? Vejledningen nævner grunduddannelse ved rolleskift som eksempel, se audit af cyberhygiejne og uddannelse.
Fratrædelsen. Hvornår meldte HR fratrædelsen til IT? Hvornår blev adgangene lukket? Blev udstyr returneret eller slettet? Blev medarbejderen orienteret om de pligter, der fortsat gælder? Vejledningen nævner aftrædelsessamtaler som eksempel på dokumentation. En kort note fra samtalen, hvor pligterne efter fratrædelsen blev gennemgået, er et enkelt spor at gemme.
Auditor sammenholder datoerne fra HR med datoerne i systemerne. Ligger der dage eller uger mellem fratrædelsen og den lukkede konto, er det et fund. Hvor hurtigt det skal ske, fastsætter vejledningen ikke. Jeres egen procedure er målestokken.
Leverandørernes og konsulenternes forløb
Den samme stikprøve kan laves på eksterne. Hvem melder det til jer, når en konsulent hos driftsleverandøren stopper? Bliver konsulentens adgang til jeres systemer lukket? Svaret hører hjemme i aftalen og i leverandørstyringen, se audit af leverandørstyringen.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fast arbejdsgang mellem HR, ledere og IT ved ansættelse, rolleskift og fratrædelse og et spor med datoer i hvert led. Rolleskift fortjener en særlig plads i arbejdsgangen, fordi de ikke nødvendigvis udløser papirer i HR.
Uden arbejdsgangen bliver tidligere medarbejdere og konsulenter ved med at have adgang, og medarbejdere samler rettigheder fra hver stilling, de har haft. Begge dele viser sig hurtigt i en stikprøve, og tilsynet kan spørge til dem.
Det skal I lade være med
- At lade fratrædelser gå via en mail, der kan blive væk · arbejdsgangen bør efterlade et spor med datoer.
- At give nye rettigheder ved rolleskift uden at fjerne de gamle · det er der, rettighederne hober sig op.
- At glemme konsulenter og leverandørens folk · vejledningen omfatter leverandører, hvor det er relevant.
Det skal auditten kunne vise
- ☐ Procedurer for ansættelse, rolleskift og fratrædelse, der dækker sikkerhedsansvar og adgange.
- ☐ Kontrakter eller aftaler, hvor sikkerhedsansvaret står.
- ☐ Stikprøver, hvor HR’s datoer og systemernes datoer passer sammen.
- ☐ Returneret eller slettet udstyr ved fratrædelse.
- ☐ En arbejdsgang for eksterne, der får adgang til jeres systemer.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 9, afsnit 9.a til 9.c, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de tre seneste fratrædelser, og sammenlign datoen for fratrædelsen med datoen, hvor kontoen blev lukket.
Læs også: Baggrundskontrol efter tre regelsæt · Audit af MFA
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
