En auditrapport kan være en del af beviset for, at ledelsesorganet fører tilsyn med cybersikkerheden. Alene dokumenterer den kun, at nogen har set på foranstaltningerne. Først sammen med referatet af ledelsesorganets behandling, dets beslutninger og opfølgningen på dem viser den, at ledelsen har ført det tilsyn, NIS 2-loven kræver.
Den konklusion er en tolkning af myndighedens vejledning om ledelsens rolle. Den bygger på, hvordan vejledningen beskriver tilsynet.
Hvad § 7 kræver af ledelsesorganet
§ 7, stk. 1, giver ledelsesorganet to opgaver. Det godkender cybersikkerhedsforanstaltningerne, og det fører tilsyn med, at de bliver gennemført. Myndigheden uddyber i sin vejledning om ledelsens rolle, at tilsynet også omfatter foranstaltningernes virkning.
Vejledningen giver eksempler på, hvordan tilsynet kan føres. Det kan ske gennem periodiske ledelsesrapporter. Virksomheden kan også lade en intern revisionsfunktion afrapportere til ledelsen. Endelig kan en udefrakommende gennemgå lovens krav og aflevere sine resultater til ledelsen. Vejledningen kalder den sidste ekstern revision. Den er ikke det samme som en revision efter revisorloven.
En auditrapport er altså et anerkendt redskab. Spørgsmålet er, hvad den beviser.
Hvad rapporten viser
Rapporten viser, at en uafhængig har vurderet foranstaltningerne på et bestemt tidspunkt eller over en periode. Den viser, hvad der var opfyldt, hvad der manglede, og hvad auditor anbefalede. Er den god, viser den også, hvad konklusionerne bygger på. De fund, auditor har prioriteret højest, giver ledelsesorganet et naturligt sted at begynde, når det skal stille spørgsmål til direktionen.
Det er værdifuldt. Det dokumenterer dog ikke, at ledelsesorganet har læst rapporten, forstået den eller handlet på den. Det er de tre ting, tilsynet består af.
Hvad behandlingen skal tilføje
Vejledningens eget eksempel på tilsyn viser, hvad der mangler. En direktion modtager halvårligt en ledelsesrapport med status på mål, handleplaner og målepunkter og tager stilling til, om der skal justeres. Eksemplet er tænkt og er myndighedens eget. Det centrale er ordene “tager stilling”.
For en auditrapport betyder det tre lag ud over selve rapporten.
Behandlingen. Et referat, der viser, at rapporten var på dagsordenen, at ledelsesorganet drøftede de vigtigste fund, og hvem der deltog. Spørgsmålene, bestyrelsen kan stille, er samlet i bestyrelsens læsning af rapporten.
Beslutningerne. Godkendelse af korrigerende foranstaltninger efter § 6, stk. 2, accept af restrisiko, afsættelse af ressourcer eller et krav om mere viden. De skal stå i referatet med dato.
Opfølgningen. Senere referater, der viser status på handlingerne, og hvad ledelsesorganet gjorde, hvis noget var forsinket. Opfølgningen er beskrevet i opfølgningsaudit og lukkebevis.
Hvor beviset slutter
En rapport, der ligger ubehandlet, dokumenterer ikke et tilsyn. Den kan i værste fald dokumentere det modsatte, nemlig at ledelsesorganet kunne have vidst, hvad der manglede, uden at der skete noget. Det er en tolkning, men den følger af, at vejledningen lægger vægt på, at ledelsen tager stilling.
Beviset slutter også ved rapportens omfang. Har auditten kun omfattet dele af virksomheden eller dele af de ti foranstaltninger, dokumenterer den kun tilsyn med dem. Resten skal ledelsesorganet føre tilsyn med på anden vis, fx gennem den løbende rapportering. Omfanget skal derfor fremgå af rapporten, se NIS2-auditrapporten.
Og beviset slutter ved tiden. En rapport er bevis for tilsyn i den periode, den blev behandlet. Tilsynet efter § 7 er løbende. Én rapport om året kan derfor ikke stå alene. Den skal suppleres med rapportering mellem audits, som beskrevet i egenkontrol og årshjul.
Koncerner og større virksomheder, der bygger en fast rapportering til bestyrelsen op, kan finde mere om ledelsesrapportering over tid.
Hvis tilsynet beder om materialet
Tilsynet kan efter § 21 og § 24 kræve dokumentation for, at cybersikkerhedspolitikkerne er gennemført. Sker det, er det naturligt at lægge referaterne af behandlingen og opfølgningen ved rapporten, så kæden kan ses. Spørgsmålet om, hvorvidt en frivillig rapport overhovedet hører med i svaret, tager artiklen om auditrapporten og tilsynets forespørgsel op. Uanset svaret bør referaterne kunne stå alene som bevis for, at ledelsesorganet har taget stilling.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at rapporten kommer på ledelsesorganets dagsorden, at referatet skrives, så beslutningerne fremgår, og at opfølgningen bliver sat på næste møde. Det er sekretariatsarbejde, men det skal planlægges.
Uden den kæde bliver rapporten et dokument, der viser, at ledelsen fik besked. Ved et tilsyn er det et svagt udgangspunkt, og det kan rejse spørgsmålet om, hvorfor intet skete.
Det skal I lade være med
- At arkivere rapporten uden behandling · den kan så vise, at ledelsen vidste uden at handle.
- At regne én årlig rapport for hele tilsynet · tilsynet efter § 7 er løbende.
- At skrive “taget til efterretning” som eneste beslutning · det viser ikke, at ledelsen har taget stilling.
Det skal auditten kunne vise
- ☐ Rapporten forelagt ledelsesorganet med dato.
- ☐ Referat af drøftelsen og de beslutninger, der blev truffet.
- ☐ Opfølgning i senere referater.
- ☐ Løbende rapportering mellem audits.
- ☐ Rapportens omfang, så det fremgår, hvad tilsynet dækker.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 4, s. 8, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find referatet fra det møde, hvor den seneste rapport blev behandlet, og se, om beslutningerne står der.
Læs også: Ledelsens rolle i auditten · Fra fund til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
