Pligten efter NIS 2-loven er at vurdere, om I har brug for et nødstrømsanlæg, et ekstra datacenter eller dobbelte forbindelser, og at kunne vise vurderingen. Selve anlæggene er et valg, I træffer ud fra den.
Det lyder let. I praksis er det ofte her, en audit finder et hul, fordi reserverne er indkøbt for år tilbage, uden at nogen har koblet dem til de tjenester, der gør virksomheden omfattet.
Kravet, som det står
Driftskontinuitet er punkt 3 i listen i § 6, stk. 1, og lovteksten regner backupstyring, reetablering efter en katastrofe og krisestyring med. Ifølge lovbemærkningerne, som styrelsen citerer i sin foranstaltningsvejledning fra juni 2025, skal enheder vurdere, om de har brug for redundans, nødstrøm, understøttende forsyning eller en anden sikring, der virker på samme måde.
Vejledningens afsnit 3.c gør det konkret. Som krav skal enheden vurdere behovet for redundans, fx IT-udstyr eller alternative lokationer i reserve. Som anbefaling bør vurderingen tage udgangspunkt i politikkerne og kontinuitetsplanen. Den bør omfatte systemer, faciliteter, udstyr, forsyninger som nødstrøm, personale og kommunikationskanaler. Behovet bør vurderes igen med regelmæssige planlagte mellemrum, og brugen af de redundante ressourcer bør dokumenteres.
Som forslag nævner vejledningen, at redundansen kan være jeres egen eller bygge på aftaler med tredjepart. Valget er jeres.
I vejledningen er standardhenvisningerne til afsnittet ISO/IEC 27001:2023 A.8.13 og A.8.14. De kan bruges som krydsreference, hvis I i forvejen arbejder efter standarden.
Seks områder, vurderingen bør dække
Vejledningens liste kan bruges som skelet for vurderingen. Den nævner systemer, faciliteter, udstyr, forsyninger, personale og kommunikationskanaler.
For hvert område er spørgsmålet det samme. Hvad sker der med de tjenester, der gør jer omfattet, hvis denne ene ting forsvinder? Og hvor længe kan I klare jer uden?
Personale og kommunikation overses lettest. En reserve af servere hjælper lidt, hvis kun én person kan starte dem. Hvordan I taler sammen, når de almindelige systemer er nede, er beskrevet i nødkommunikation.
Når svaret er nej
En vurdering kan ende med, at I ikke etablerer redundans for et bestemt område. Det er tilladt, så længe vurderingen er dokumenteret. Vejledningen skelner mellem krav, anbefalinger og forslag, og vælger I en anbefaling fra, kræver vejledningen, at I over for tilsynet kan begrunde fravalget ud fra teknologisk stade, omkostninger og risiko. Se skal, bør og kan.
Et begrundet nej er derfor et gyldigt svar i en audit. Mangler begrundelsen, kan auditor ikke se, om spørgsmålet overhovedet har været stillet.
Afprøvning er praksis
Vejledningen siger ikke udtrykkeligt, at reserverne skal afprøves. Den anbefaler, at kontinuitetsplanerne testes, og den beskriver test af backup. Afprøvning af en generator, en sekundær forbindelse eller en reservelokation er derfor god praksis, som en auditor vil spørge til, men den står ikke som krav i kilden.
Når auditor spørger, er formålet at vurdere, om reserven er reel. En nødstrømsforsyning, der aldrig har været belastet, eller en forbindelse, der aldrig har båret trafik, er en antagelse. Har I brugt reserverne under en hændelse, er dokumentationen af den brug et godt bevis, og vejledningen anbefaler netop, at den dokumenteres.
Sådan efterprøver en audit vurderingen
Fremgangsmåden er praksis.
Auditor beder om selve vurderingen og ser, om den dækker de seks områder, og om den er knyttet til risikovurderingen og beredskabsplanen. En vurdering, der står alene, er svær at forsvare.
Dernæst datoen. Er behovet vurderet igen efter større ændringer, fx flytning, nye tjenester eller skift af driftsleverandør?
Så aftalerne. Bygger redundansen på en tredjepart, ser auditor på, om aftalen faktisk dækker det, vurderingen forudsætter. Leverandørsiden hører under leverandørstyringen.
Til sidst sporet efter brug eller afprøvning. Er der referater, logs eller rapporter fra en test eller en hændelse, hvor reserven blev taget i brug?
Fysisk sikring af lokaler og forsyninger hænger sammen med fysisk adgang og miljø.
Hvad det kræver, og hvad det koster at lade være
Vurderingen kræver en person, der kender tjenesterne, og en, der kender bygningerne og forsyningerne. Har I en kontinuitetsplan, kan vurderingen ofte skrives som et afsnit i den. Det tager typisk et par arbejdsdage at samle og godkende første gang.
Uden vurderingen kan I ikke vise tilsynet, at spørgsmålet er stillet. Det er det, kravet går ud på. I risikerer samtidig at opdage under en strømafbrydelse, at reserven ikke dækker det, I troede.
Det skal I lade være med
- At købe reserver uden vurdering · udstyret beviser ikke, at behovet er vurderet.
- At glemme personale og kommunikation · de står i vejledningens liste på linje med udstyr.
- At regne en uafprøvet reserve for sikker · først brugen viser, om den bærer.
Det skal auditten kunne vise
- ☐ En dateret og godkendt vurdering af behovet for redundans og nødstrøm.
- ☐ Dækning af systemer, faciliteter, udstyr, forsyninger, personale og kommunikationskanaler.
- ☐ Begrundelse for de områder, hvor I har fravalgt redundans.
- ☐ Aftaler med tredjepart, hvor redundansen bygger på andre.
- ☐ Dokumentation af afprøvning eller brug af reserverne.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 3, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 3.c, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de seks områder op, og sæt for hvert ud for de omfattede tjenester, om der findes en reserve, og hvornår den sidst blev brugt.
Læs også: Audit af backup og gendannelse · Krisestyring og øvelser som bevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
