Prisen på en NIS2-audit afhænger af antallet af juridiske enheder, af om forordning 2024/2690 omfatter jer, hvor meget af driften der ligger hos leverandører, og hvor mange af lovens ti foranstaltninger auditten dækker. Tilbud fra to auditorer kan først sammenlignes, når de bygger på de samme svar på de fire spørgsmål.
Nogle af forholdene er de samme som i enhver sikkerhedsaudit, fx antallet af systemer og hvor grundigt der undersøges. De står i artiklen om prisen på en sikkerhedsaudit. Her handler det om det, der er særligt for NIS 2-loven. Beløb står her ikke.
Antal juridiske enheder
Vejledningen fra Styrelsen for Samfundssikkerhed definerer en enhed som en juridisk person med et CVR-nummer. En koncern med tre omfattede selskaber har altså tre enheder, der hver skal opfylde kravene. Auditten kan dække dem samlet eller hver for sig, men hver enhed bør kunne se sit eget resultat.
Flere CVR-numre giver flere ledelsesorganer, der hver skal godkende og føre tilsyn efter § 7, og ofte flere sæt dokumenter. Det gør opgaven større, også når selskaberne deler IT. Hvordan en koncern kan gribe auditten an, står i NIS2-audit i en koncern.
Om forordningen gælder
Forordningen rammer en afgrænset gruppe digitale udbydere, bl.a. af cloudtjenester og administrerede sikkerhedstjenester. For dem fastlægger forordningen kravene mere detaljeret end loven, fx om risikostyring, logning og uafhængig gennemgang. Flere og fastere krav betyder flere punkter at efterprøve.
Hører I under forordningen, bør tilbuddet sige, at den er med i kriterierne. Et tilbud, der kun nævner loven, dækker et mindre omfang. Hvilke virksomheder forordningen omfatter, står i MSP, cloud, hosting og datacenter.
Outsourcet drift
Vejledningen siger, at kravene gælder, uanset om virksomheden selv driver sine net- og informationssystemer eller har lagt driften ud. Auditten bør derfor også se på de foranstaltninger, der i praksis udføres af en leverandør. Det betyder typisk aftaler, opfølgning og dokumentation fra leverandøren.
Jo mere der ligger ude, jo mere afhænger auditten af, at leverandøren kan og vil levere materiale. Det kan tage tid at koordinere. Hvordan arbejdet deles, står i driften er outsourcet. En gennemgang hos selve leverandøren er en selvstændig audit af leverandøren.
Hvor mange af de ti foranstaltninger
§ 6, stk. 1, nævner ti foranstaltninger, fra politikker for risikoanalyse til multifaktorautentificering. En fuld NIS2-audit dækker dem alle. En virksomhed kan også vælge at starte med de områder, hvor de ved mindst, og tage resten senere.
Begge dele kan give mening. Tilbuddet bør bare sige, hvilke foranstaltninger der er med, så et tilbud på tre ikke sammenlignes med et på ti. Ser auditten også på de tekniske kontrolpunkter i dybden, fx opsætning af systemer, bliver den større. Den del kan også bestilles som en teknisk gennemgang.
Sektorer og lokationer
Hører virksomheden under flere sektorer, kan der være flere myndigheder og flere sektorvejledninger. Har den mange lokationer, kan der være flere steder at besøge. At flere kriterier og flere steder giver mere at gennemgå, følger af opgavens art. Ingen regel siger det.
Jeres eget materiale
Det sidste forhold styrer I selv. Ifølge vejledningen skal en enhed kunne dokumentere sine obligatoriske foranstaltninger, så materialet burde allerede findes. Ligger det ordnet efter de ti foranstaltninger, går mindre af auditors tid med at lede. Hvordan det samles, står i dokumentlisten og bevismappen.
Sådan bliver to tilbud sammenlignelige
Skriv de fire NIS2-forhold ind i jeres forespørgsel, sammen med de almindelige punkter om mål, omfang, kriterier, metode og leverance. Bed auditorerne svare i samme rækkefølge. Læg svarene ved siden af hinanden, punkt for punkt.
Spørg til forudsætningerne, hvis et tilbud skiller sig ud. Er det fordi, auditor har regnet med færre CVR-numre, uden forordningen eller uden leverandørerne? Så er det ikke samme opgave.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Hvad det kræver, og hvad det koster at lade være
At gøre tilbuddene sammenlignelige kræver, at I kender jeres egne svar: hvilke selskaber der er omfattet, om forordningen gælder, og hvad der ligger hos leverandører. Er I i tvivl om de første to, er det et spørgsmål, der bør afklares før auditten.
Sammenlignes tilbud uden de svar, kan det billigste dække et selskab, når der er tre, eller loven, når forordningen også gælder. Det viser sig, når tilsynet eller bestyrelsen spørger til det, der ikke var med.
Det skal I lade være med
- At glemme forordningen · gælder den, er den en del af kriterierne.
- At regne koncernen som ét selskab · hvert CVR-nummer er en enhed med eget ledelsesorgan.
- At lade leverandørerne være ude af tilbuddet · kravene gælder også den outsourcede drift.
Det skal auditten kunne vise
- ☐ Hvilke juridiske enheder der er med, med CVR-nummer.
- ☐ Om forordning 2024/2690 indgår i kriterierne.
- ☐ De gennemgåede foranstaltninger, med nummer fra § 6, stk. 1.
- ☐ Hvordan leverandørernes del af driften er undersøgt.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, ordlisten og s. 8, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Afgrænsning af NIS2-auditten · Forløbet i en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
