NIS 2-loven forbyder ikke, at den samme rådgiver først hjælper med at bygge jeres foranstaltninger og bagefter gennemgår dem. Det er en interessekonflikt, som ledelsen selv bør vurdere, fordi en uvildig NIS2-audit forudsætter, at den, der vurderer, ikke bedømmer sit eget arbejde.
Spørgsmålet opstår naturligt. Rådgiveren kender jer, har skrevet politikkerne og ved, hvor dokumenterne ligger. Det gør en audit hurtigere. Det gør også vurderingen sværere at stole på for en bestyrelse, der vil vide, om arbejdet holder.
Det, reglerne selv siger om uafhængighed
Reglerne nævner uafhængighed to steder, der er relevante her.
Tilsynets krav om et uafhængigt organ. En væsentlig enhed kan af myndigheden blive bedt om at bruge “et kvalificeret uafhængigt organ” til sine sikkerhedsaudits (§ 21, stk. 1, nr. 2). For vigtige enheder gælder det, når noget tyder på brud på loven (§ 24, stk. 1, nr. 2). Hvad der gør et organ kvalificeret, står hverken i loven eller i de dele af bemærkningerne, vi har læst. Ordet uafhængigt står der dog, og det er svært at forestille sig, at den, der byggede arbejdet, opfylder det. Det sidste er vores tolkning.
Forordningens uafhængige gennemgang. Forordning 2024/2690 kræver, at visse digitale enheder lader deres sikkerhedsstyring gennemgå uafhængigt (bilag punkt 2.3). De, der gennemgår, skal have passende auditkompetence. Bruger enheden sine egne ansatte, kræver forordningen, at der ikke er et over- eller underordnelsesforhold mellem dem og det område, de ser på. Tillader enhedens størrelse ikke den adskillelse, skal den træffe andre foranstaltninger, så gennemgangen bliver upartisk (punkt 2.3.2).
Forordningen gælder kun de digitale enheder i dens artikel 1, fx udbydere af cloud, datacentre, administrerede tjenester og sikkerhedstjenester, onlinemarkedspladser, søgemaskiner og sociale netværk. For andre virksomheder er punkt 2.3 en målestok. Den er alligevel nyttig, fordi den viser, hvordan EU har tænkt uafhængighed i netop denne sammenhæng. Mere om punktet står i uafhængig gennemgang efter punkt 2.3.
Det, anerkendt praksis siger
Uden for NIS2-reglerne findes to beskrivelser, der kan bruges som målestok.
Standarderne for intern revision siger, at interne revisorer ikke må vurdere aktiviteter, de selv har haft ansvar for. Har revisoren haft ansvaret for et område inden for det seneste år, regnes objektiviteten for svækket, når revisoren skal udtale sig om det. Har funktionen tidligere rådgivet om området, skal det bekræftes, at rådgivningen ikke svækker objektiviteten. Reglen er skrevet til interne revisorer.
NIST forbinder uafhængighed med, at vurdereren er fri af interessekonflikter, både reelle og dem, andre kan opfatte, i forhold til at udvikle, drive eller lede det, der vurderes. Ordet “opfattede” er vigtigt. Det er nok, at en udenforstående kan se en konflikt.
Hvor konflikten ligger
Konflikten handler om tre ting. Den første er, at rådgiveren kan have svært ved at se svagheder i egne løsninger. Den anden er, at et fund i egne leverancer kan føre til ekstra arbejde for rådgiveren selv. Den tredje er, at en bestyrelse eller en myndighed kan læse rapporten som rådgiverens egen kvittering.
Arbejdet kan sagtens være godt. Ingen udenfor har bare mulighed for at se det.
Fire muligheder
- En anden auditor. Den enkleste løsning. Rådgiveren kan stadig hjælpe med at finde materialet frem.
- En anden person i rådgiverens firma. Det mindsker konflikten for den enkelte. Firmaets interesse i resultatet er den samme.
- Rådgiveren gennemgår, og en anden efterprøver. Fx gennemgår en uafhængig part udvalgte områder og rådgiverens metode. Det ligner forordningens tanke om andre foranstaltninger, når adskillelse ikke er mulig.
- Rådgiveren gennemgår, og konflikten skrives ind i rapporten. Det er det mindste, og det kan være nok til et internt formål. Til en bestyrelse eller en myndighed er det svagt.
Uanset valget kan I stille rådgiveren tre spørgsmål. Hvilke dele af materialet har I selv skrevet eller sat op? Hvilke fund ville føre til mere arbejde for jer? Hvem i jeres firma har ikke været med i projektet? Svarene gør konflikten konkret, og de kan skrives ind i auditaftalen.
Vælges en af de to sidste muligheder, bør rapporten sige det tydeligt. Hvordan bestyrelsen kan bestille en audit uden om direktionen, står i bestyrelsen bestiller selv.
Hvad det kræver, og hvad det koster at lade være
At vælge en anden auditor kræver, at den nye får tid til at lære jeres miljø at kende. Det tager lidt længere. Til gengæld får ledelsen en vurdering, som også andre kan stole på. Kriterierne for valget gennemgås i artiklen om at vælge auditor til en NIS2-audit.
Vælges rådgiveren uden overvejelse, risikerer I, at rapporten ikke kan bruges, når den skal. Det gælder især, hvis myndigheden senere kræver et uafhængigt organ, eller bestyrelsen vil have et uafhængigt billede, der kan måles over tid.
Det skal I lade være med
- At tro, at loven forbyder det · den gør ikke, og ansvaret for valget ligger hos jer.
- At skjule rådgiverens rolle i rapporten · en læser bør kunne se konflikten.
- At læse forordningens punkt 2.3 som et krav til alle · det gælder kun visse digitale enheder.
Det skal auditten kunne vise
- ☐ Hvem der har bygget hvad, og hvem der har gennemgået det.
- ☐ En vurdering af interessekonflikten, godkendt af ledelsen.
- ☐ For digitale enheder: hvordan kravet i punkt 2.3.2 er opfyldt.
- ☐ Rådgiverens eventuelle rolle nævnt i rapporten.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21 og 24, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilag punkt 2.3.2, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 2.2, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- NIST, SP 800-53A Revision 5 (januar 2022), kapitel 3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Intern eller ekstern NIS2-audit · Bestyrelsen bestiller selv auditten
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
