Rådgivning om sikkerhedsaudit

Alt på sitet kan bruges, uden at I henter nogen udefra. Ønsker I en uvildig gennemgang, har Nielco IT tre ydelser, der hører til sitets emner: Cybersikkerhedsaudit, NIS2-audit og IT-sikkerhedstjek for SMV. Siden beskriver, hvad hver af dem dækker, hvordan forløbet er bygget op, og hvad I selv skal have klar, så I kan afgøre, om en af dem passer til jeres spørgsmål.

Før I vælger auditor

Den, der skal vurdere jeres sikkerhed, bør ikke have en interesse i resultatet. Artiklerne her hjælper jer med at prøve det, uanset hvem I vælger.

• Uvildig og uafhængig: hvad det betyder for en sikkerhedsaudit Spørgsmålene, der viser en interessekonflikt.
• Valg af auditor til en sikkerhedsaudit med fem spørgsmål Faglighed, metode, rapport og referencer.
• Sådan bestiller I en sikkerhedsaudit med et opdrag på én side Den tekst, der kan sendes til flere auditorer.

Cybersikkerhedsaudit

Auditten er en systematisk gennemgang af, hvordan virksomheden beskytter data, systemer og forretning, målt mod de kriterier, der aftales i opdraget. Den kan være bred eller koncentreret om bestemte områder. Typisk ser den på:

• Ledelse og dokumentation · politikker, ansvar, og om det skrevne bliver fulgt.
• Adgangsstyring · rettigheder, fratrædelser og administratorkonti.
• Backup og gendannelse · om kopierne findes, og om gendannelse er afprøvet.
• Leverandører · hvem der har adgang, og hvad der sker, hvis en af dem bliver ramt.
• Medarbejderne · procedurer ved mistænkelige mails og hændelser.
• Teknikken · opdateringer, kendte sårbarheder og det, der kan ses udefra.

I får en rapport med fund vurderet efter alvor og prioriterede anbefalinger, og den gennemgås med jer, så den kan forklares videre til ledelse eller bestyrelse.

NIS2-audit

NIS2-auditten måler virksomheden mod NIS 2-loven og, hvor den gælder, forordning 2024/2690. Den ser på de foranstaltninger, loven kræver i § 6, på evnen til at underrette om væsentlige hændelser og på ledelsesorganets godkendelse og tilsyn efter § 7. Resultatet viser, hvor kravene er opfyldt, hvor der er mangler, og hvad der bør rettes først, så ledelsen har et grundlag, den kan bruge over for tilsynet. Auditten er en vurdering til ledelsen. Den er ingen godkendelse, og det er fortsat myndigheden, der vurderer, om loven er overholdt.

IT-sikkerhedstjek for SMV

Tjekket er til den mindre virksomhed uden sikkerhedsansvarlig, der vil vide, hvor den er mest udsat, og hvad den skal gøre først. Det ser på backup, opdateringer, adgangsstyring, fjernadgang, mail og phishing samt leverandørerne, og det kan tilpasses de bekymringer, I har. Gennemgangen kan foregå på afstand eller hos jer. Bagefter får I en kort rapport med fundene i den rækkefølge, de bør løses, og den gennemgås med jer.

De specialiserede gennemgange

Nogle spørgsmål kræver en anden slags gennemgang end dem ovenfor. Nielco IT har særskilte ydelser til dem:

• Leverandøraudit · når I vil vide, om en IT-leverandør eller databehandler lever op til aftalen. Leverandøraudit hos Nielco IT
• Sikkerhedsmodenhed · når I vil måle, hvor langt sikkerhedsarbejdet er nået, og følge udviklingen. Sikkerhedsmodenhed hos Nielco IT
• Enterprise-audit · når virksomheden er stor og sammensat. Enterprise-audit hos Nielco IT
• Teknisk gennemgang · når opsætningen af systemerne skal kontrolleres i dybden. Teknisk gennemgang hos Nielco IT

Det, ydelserne ikke omfatter

Nielco IT er ikke revisor og ikke bemyndiget organ. Der udstedes ingen certifikater, og der afgives ingen erklæringer efter ISAE 3000 eller ISAE 3402. Fysiske produkter testes ikke. Der er ingen forhandleraftaler, og anbefalingerne peger ikke på bestemte produkter eller leverandører. Rettelserne efter rapporten udføres af jer eller jeres IT-leverandør, og juridiske spørgsmål hører hjemme hos jeres advokat.

Sådan foregår et forløb

Det begynder med en samtale om anledningen og om, hvad I vil have svar på. Derefter aftales opdrag, kriterier og omfang på skrift sammen med adgang og fortrolighed. Gennemgangen bygger på jeres dokumenter, interviews og udtræk eller stikprøver fra systemerne. Rapporten kommer først i en foreløbig udgave, så faktuelle fejl kan rettes, og derefter i en endelig, som gennemgås med jer. Rapporten er jeres.

Hvad det kræver, og hvad det koster at lade være

Et forløb kræver, at materialet bliver fundet frem, og at de personer, der udfører og godkender arbejdet, kan afsætte tid til interviews. Omfanget følger antallet af selskaber, lokationer og systemer, hvor stor en del af driften leverandører står for, og hvor dybt hvert område skal gennemgås. Regn jeres egen tid med, når I vurderer indsatsen. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Kan I selv gennemføre en kontrol med sitets artikler som grundlag, er det et godt sted at begynde. Bliver svaret på sikkerheden ved med at komme fra den, der driver eller sælger løsningerne, mangler ledelsen et billede, den kan stå inde for.

Det skal I lade være med

• At lade den, der driver løsningen, være eneste vurdering · få et blik uden interesse i svaret.
• At bestille uden et skriftligt opdrag · så kan tilbuddene ikke sammenlignes.
• At forvente et certifikat af en audit · den giver en rapport.

Det skal forløbet kunne vise

• ☐ Opdraget med spørgsmål, kriterier og omfang.
• ☐ Den tid, jeres egne folk skal bruge.
• ☐ Hvem der modtager rapporten og beslutter, hvad der sker.
• ☐ Hvornår opfølgningen skal ligge.

Senest gennemgået: november 2026.

Næste skridt

Skriv anledningen og det spørgsmål, I vil have besvaret, ned i to sætninger. Det er udgangspunktet for den første samtale.

• Sådan bestiller I en sikkerhedsaudit
• Kontakt

Læs også: Seks slags sikkerhedsaudit · Om sikkerhedsaudit.dk

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT · NIS2-audit hos Nielco IT · IT-sikkerhedstjek for SMV hos Nielco IT