Fund, rapport og opfølgning

Værdien af en audit opstår først, når fundene bliver til beslutninger, og beslutningerne bliver gennemført. Artiklerne her handler om rapporten og det, der skal ske bagefter: hvordan ledelsen og bestyrelsen læser den, hvordan fund bliver til en plan med ejere og frister, hvornår et fund kan lukkes, og hvem der må se rapporten. Flere af dem er skrevet til virksomheder under NIS 2-loven, hvor opfølgningen også er en del af det, ledelsen skal kunne dokumentere.

Rapporten

• NIS2-auditrapporten: indhold, opbygning og den ene side til ledelsen En konklusion pr. foranstaltning og et resumé, der kan besluttes ud fra.
• Sådan læser bestyrelsen en NIS2-auditrapport Spørgsmålene til rapporten og til direktionen.
• Auditrapporten som dokumentation for ledelsens tilsyn efter § 7 Rapporten alene beviser kun, at nogen har kigget.
• Hvem må få auditrapporten, og hvad kan I vise kunderne i stedet? Uddrag og bekræftelser frem for svaghedslisten.

Fra fund til plan

• Fra fund til handlingsplan: ejere, frister og ressourcer Planen, ledelsesorganet kan godkende og følge.
• Kan ledelsen vælge ikke at rette et fund? Hvor en dokumenteret risikoaccept holder, og hvor den ikke gør.
• Auditten viser store huller: ledelsens første beslutninger Lovkrav først, derefter planen for resten.
• Fra auditrapport til budget i en mellemstor virksomhed Anbefalingerne sorteret, så budgetmødet kan beslutte.

Typiske mangler

• Foranstaltninger uden ejer Når ingen accepterer risikoen, og ledelsesorganet ikke hører om den.
• Den mindre NIS2-virksomhed: fund, når én person har hele opgaven Forholdsmæssighed, der ikke fjerner minimumskravene.

Opfølgningen

• Opfølgningsaudit og lukkebevis: hvornår er et fund lukket? Et lukket fund er et efterprøvet fund.
• Handlingsplanen er gået i stå: samme mangel i to rapporter Vægten af en kendt mangel, der ikke er rettet.
• Egenkontrol og årshjul mellem de eksterne audits Små kontroller og øvelser fordelt over året.

Sådan bruger I siden

Har I netop fået rapporten, så læs artiklen om rapportens opbygning og bestyrelsens spørgsmål, før den behandles på et møde. Skal fundene omsættes, er handlingsplanen og risikoaccepten de næste. Spørger en kunde eller forsikringen efter rapporten, giver artiklen om deling svaret. Når planen er i gang, hjælper lukkebeviset og årshjulet jer med at holde den i gang til næste audit.

Hvad det kræver, og hvad det koster at lade være

Opfølgningen kræver en ejer for hvert fund, en dato, et møde i ledelsen, hvor planen godkendes, og en fast status til ledelsesorganet. En rapport, der ikke bliver fulgt op, dokumenterer kun, at ledelsen kendte til manglerne. Står samme fund i to rapporter, er det sværere at forklare end det oprindelige fund.

Det skal I lade være med

• At kalde et fund lukket, fordi nogen har skrevet det · der skal ligge bevis bag.
• At acceptere en mangel i et lovkrav som risiko · den skal rettes.
• At sende hele rapporten til kunder · giv dem det, de spurgte om.

Det skal opfølgningen kunne vise

• ☐ En godkendt handlingsplan med ejere og frister.
• ☐ Ledelsesorganets behandling af rapporten i et referat.
• ☐ Bevis for hvert fund, der er meldt lukket.
• ☐ Begrundelsen for hver anbefaling, der er fravalgt.

Senest gennemgået: november 2026.

Næste skridt

• Auditmetode og bevis
• NIS2-kravene i § 6

Læs også: Bestilling og forberedelse · Tilsyn og håndhævelse

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT