De tre faggrupper svarer på forskellige spørgsmål. En godkendt revisor kan afgive en erklæring med sikkerhed, som andre kan bruge. En advokat kan rådgive om, hvordan loven skal forstås i jeres konkrete sag. En sikkerhedsrådgiver kan gennemgå foranstaltningerne og give ledelsen fund og anbefalinger. Det rigtige valg afhænger af, hvem der skal bruge resultatet, og til hvad.
Forvirringen opstår, fordi ordene overlapper. I myndighedens vejledning om ledelsens rolle bruges fx ordet “ekstern revision” om en ekstern gennemgang af NIS 2-kravene. Det er ikke det samme som den revision, revisorloven handler om. Begynd derfor med spørgsmålet. Titlen kommer bagefter.
Hvad revisorloven dækker
Revisorlovens § 1, stk. 2, rammer revisionspåtegninger på regnskaber og de øvrige erklæringer med sikkerhed, som en godkendt revisor afgiver, og som ikke alene er til brug for den, der har bestilt dem. Titlerne statsautoriseret revisor, registreret revisor og godkendt revisor må kun bruges af personer med den godkendelse, og forvekslelige betegnelser er ikke tilladt (§ 5).
Efter vores læsning af revisorloven § 1, stk. 2, er en sikkerhedsaudit med fund og anbefalinger til ledelsen ikke en erklæring med sikkerhed efter revisorloven. Andre fagfolk kan derfor godt lave en sikkerhedsaudit med en rapport til ledelsen. Loven handler om revisorernes erklæringer. Læsningen er vores egen og er ikke juridisk rådgivning.
Hvornår revisors erklæring er det rigtige
Brancheforeningen FSR udsendte i december 2025 en opdateret ISAE 3000-skabelon til erklæringer om NIS 2. Formålet er et fælles grundlag i forsyningskæden, så omfattede virksomheder og deres direkte leverandører taler om det samme. Ifølge FSR er skabelonen alene til godkendte revisorers brug.
Beder en NIS2-omfattet kunde jer om en erklæring til sin egen leverandøropfølgning, er det en opgave for en revisor. Forskellen mellem erklæringen og en auditrapport står i auditrapport eller revisors NIS2-erklæring. Den side af sagen, der handler om at modtage og læse erklæringer som kunde, hører under erklæringer og leverandørens dokumentation.
Hvornår advokaten er det rigtige
Spørgsmål om, hvordan loven skal forstås i en konkret sag, er juridisk rådgivning. Det kan være, om virksomheden er omfattet, om den er væsentlig eller vigtig, eller hvordan et påbud skal besvares. En sikkerhedsaudit giver ikke juridisk rådgivning. Den kan vise, at et spørgsmål er uafklaret, og at det bør afklares af en jurist.
Er tvivlen om selve omfattetheden, kan det være første skridt, før en audit giver mening. Hvordan afgrænsningen af en NIS2-audit hænger sammen med det, står i afgrænsning af NIS2-auditten.
Hvornår sikkerhedsrådgiveren er det rigtige
Vil ledelsen vide, om foranstaltningerne efter § 6 er på plads, hvor hullerne er, og hvad der bør gøres først, er det en sikkerhedsaudit. Modtageren er ledelsesorganet, som har godkendelsen og tilsynet efter § 7. I vejledningen om ledelsens rolle står en ekstern gennemgang med rapport til ledelsen som et af de redskaber, tilsynet kan bygge på. Hvad der gør en sådan gennemgang troværdig, er emnet for NIS2-auditorens uafhængighed og erfaring.
Rapporten er ledelsens arbejdsredskab. Den er ikke en godkendelse, og den er ikke en erklæring, andre kan læne sig op ad på samme måde som en revisors. Hvad en auditrapport typisk indeholder, står i NIS2-auditrapporten.
Tre spørgsmål, der afgør valget
- Hvem skal læse resultatet? Er det jeres egen ledelse, er en auditrapport ofte nok. Er det en kunde, der vil bruge resultatet i sin egen opfølgning, kan det være en erklæring.
- Hvad skal resultatet bruges til? Til at rette fejl og prioritere, eller til at dokumentere over for en tredjepart?
- Er der et juridisk spørgsmål først? Er det uklart, om eller hvordan loven gælder, kommer juristen før auditten.
Flere af de tre kan være relevante i samme virksomhed. Et tænkt eksempel er en leverandør, der bruger en audit internt og samtidig skal give kunderne en erklæring. Opgaverne har hver sin læser.
Den offentlige side
Kommuner, regioner og statslige myndigheder har deres egen revision og egne regler. Det gælder ikke den private virksomhed, som denne artikel er skrevet til. Den offentlige side er beskrevet under audit i den offentlige sektor.
Hvad det kræver, og hvad det koster at lade være
Valget kræver, at ledelsen svarer på de tre spørgsmål, før der bestilles noget. Det kan klares på et møde, når den, der skal bruge resultatet, er med.
Bestiller I det forkerte produkt, får I et svar, modtageren ikke kan bruge. En kunde, der venter en erklæring, kan sjældent bruge en auditrapport i stedet. En erklæring giver ikke nødvendigvis ledelsen de prioriterede anbefalinger, den har brug for.
Det skal I lade være med
- At bestille ud fra titlen · start med, hvem der skal bruge resultatet.
- At kalde en auditrapport en erklæring · revisortitler og erklæringer med sikkerhed er reguleret.
- At bruge auditten til et juridisk spørgsmål · den afklarer fakta, og fortolkningen af loven hører til juristen.
Det skal auditten kunne vise
- ☐ Bestiller og modtager angivet på forsiden.
- ☐ En tydelig angivelse af, at rapporten hverken er erklæring eller godkendelse.
- ☐ Uafklarede juridiske spørgsmål, nævnt som sådanne.
- ☐ Kriterierne: § 6 og vejledningens krav og anbefalinger.
Kilder
- Lov om godkendte revisorer og revisionsvirksomheder, LBK nr. 206 af 20. februar 2025, § 1 og § 5, https://www.retsinformation.dk/eli/lta/2025/206, læst 12. november 2026.
- FSR, danske revisorer, Opdateret ISAE 3000-template til NIS 2-erklæringer (10. december 2025), https://www.fsr.dk/opdateret-isae-3000-template-til-nis-2-erklaeringer, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kapitel 4, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-ledelsens-rolle-og-opgaver-maj-2025.pdf, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit og tilsyn · Hvad er en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
