Ledelsen kan acceptere en risiko inden for lovens rammer. Et uopfyldt minimumskrav i NIS 2-loven ligger uden for dem. En dokumenteret risikoaccept er forsvarlig, når den gælder valget mellem foranstaltninger, en fravalgt anbefaling eller den risiko, der er tilbage, efter kravene er opfyldt. Gælder fundet et krav i § 6, stk. 1, skal manglen rettes uden unødigt ophold efter stk. 2.
Grænsen er en tolkning af lovens ordlyd og af myndighedens vejledning. Den konkrete vurdering ligger hos den sektoransvarlige myndighed.
Hvad loven siger
Efter § 6, stk. 2, skal den enhed, hvis foranstaltninger ikke lever op til stk. 1, rette forholdet uden unødigt ophold. Ordlyden indeholder ingen undtagelse for en mangel, ledelsen har accepteret. Bryder enheden § 6, stk. 1 eller 2, giver § 32, stk. 1, nr. 1, hjemmel til bødestraf.
Det er den ene side. Den anden side er, at loven kræver passende og forholdsmæssige foranstaltninger. Hvad der er passende, afhænger af risikoen, og her har ledelsen et reelt valg.
Hvor risikoaccept hører hjemme
Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger beskriver tre steder, hvor ledelsen tager stilling til risiko.
Restrisiko. Når de valgte foranstaltninger er på plads, er der en risiko tilbage. Vejledningen kræver, at risikoejeren accepterer den, og at ledelsesorganet får passende rapportering. Det er den almindelige risikoaccept.
Fravalgte anbefalinger. For det, vejledningen siger “bør”, kan enheden vælge en anden vej, hvis den kan forklare fravalget ud fra teknologisk stade, omkostninger og egne risici. Myndighederne regner med, at anbefalingen enten er fulgt, eller at der foreligger en skriftlig vurdering af, hvorfor risikoen er håndteret godt nok alligevel.
Niveauet i forskellige dele af systemerne. Vejledningen tillader varierende sikkerhedsniveau, når risikoen begrunder det. En mindre kritisk del kan have en enklere løsning.
Alle tre er lovlige valg, når de er dokumenteret. Ingen af dem gør det muligt at lade et af de ti minimumspunkter stå uopfyldt.
Forordningen som målestok
For de digitale enheder i forordning 2024/2690 er reglen skrevet ud. Efter en uafhængig gennemgang træffes der korrigerende foranstaltninger, eller den resterende risiko accepteres efter enhedens kriterier for risikoaccept, og accepten af resterende risici skal begrundes. Forordningen gælder kun de digitale enheder, men den viser, hvordan en begrundet accept kan se ud. Se forordning 2024/2690 som målestok.
Hvornår en accept er forsvarlig
En accept, der kan holde over for en audit og et tilsyn, har fire kendetegn. Den er skriftlig. Den er givet af en person med mandat, normalt risikoejeren, og ledelsesorganet har fået besked. Den har en begrundelse, der henviser til risikoen og til de hensyn, vejledningen nævner. Og den har en dato for, hvornår den skal tages op igen.
Det, der gør en accept svag, er det modsatte. En mundtlig aftale, en accept uden begrundelse eller en undtagelse, som ingen har set på i flere år. Den slags bliver ledelsens problem, fordi ledelsesorganet efter § 7 fører tilsyn med foranstaltningerne og ikke kan vise, at det har taget stilling.
Passivitet tæller også
Standarderne for intern revision beskriver en situation, der er værd at kende. Når der ikke sker fremskridt på et fund, indhenter revisor en forklaring og vurderer, om ledelsen ved forsinkelse eller passivitet har accepteret en risiko ud over sin risikotolerance. En plan, der står stille, kan altså blive læst som en accept, ingen har truffet. Se handlingsplanen er gået i stå.
Hvordan risikoaccept indgår i en bredere styring over tid, behandles under risikostyring og modenhed.
Et praktisk greb er at samle accepterne i én liste med henvisning til fund og risiko. Listen forelægges ledelsesorganet sammen med rapporten og ved hver opfølgning. Så kan ledelsesorganet se summen af de risici, det har sagt ja til, frem for en række enkeltsager.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hvert fund er klassificeret som mangel i krav, fravalgt anbefaling eller forbedring. Det kræver en fast skabelon for risikoaccept med begrundelse, mandat og dato. Og det kræver, at ledelsesorganet får accepterne forelagt. Klassificeringen er beskrevet i klassificering af fund.
Bruges risikoaccept til at lade mangler i krav ligge, står virksomheden med en overtrædelse af § 6, stk. 2, og et dokument, der viser, at ledelsen kendte til den. Det er en dårligere stilling end at have manglen og en plan for at rette den.
Det skal I lade være med
- At acceptere en mangel i et minimumskrav · § 6, stk. 2, har ingen undtagelse for det.
- At give accept uden dato for genbesøg · undtagelser bliver permanente uden at nogen har valgt det.
- At lade planen stå stille uden beslutning · det kan blive læst som en accept.
Det skal auditten kunne vise
- ☐ For hver accept: hvad der accepteres, begrundelsen, hvem der har accepteret, og datoen.
- ☐ At accepterne gælder restrisiko eller fravalgte anbefalinger.
- ☐ At ledelsesorganet har fået accepterne forelagt.
- ☐ En dato for, hvornår hver accept tages op igen.
- ☐ En plan for alle mangler i krav.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7 og 32, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9 og afsnit 1.b og 6.b, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag 2.1 og 2.3.3, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards, 9. januar 2024, standard 15.2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres nuværende risikoaccepter, og se, om hver har begrundelse, mandat og dato.
Læs også: Foranstaltninger uden ejer · Skal, bør og kan
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
