Er I omfattet af forordning 2024/2690, kræver bilaget en dokumenteret risikovurdering, en risikobehandlingsplan og en begrundet accept af de risici, der er tilbage. Vurderingen og planen skal gennemgås mindst én gang om året og ved væsentlige ændringer eller hændelser.
Det faste interval er det, der adskiller punkt 2.1 fra de fleste andre punkter i bilaget. I de fleste andre punkter vælger enheden selv sin rytme. Her har forordningen sat en øvre grænse. En audit kan derfor kontrollere datoerne direkte.
Hvad punkt 2.1.1 kræver
Enhederne udfører og dokumenterer risikovurderinger. På grundlag af resultaterne udarbejder, gennemfører og overvåger de en risikobehandlingsplan.
Resultaterne og de resterende risici accepteres af ledelsesorganerne eller, hvor det er relevant, af personer, der er ansvarlige og bemyndigede til at styre risici. Det forudsætter passende rapportering til ledelsesorganerne.
Accepten kan altså ligge hos en risikoejer under ledelsen, men kun hvis ledelsesorganerne får besked. Hvad der sker, når en risiko ingen ejer har, er emnet for foranstaltninger uden ejer.
Processen i punkt 2.1.2
Punkt 2.1.2 beskriver, hvad risikostyringsprocessen skal indeholde. Forenklet gengivet skal enheden:
- følge en metode
- fastsætte en risikotolerancetærskel
- fastlægge risikokriterier
- afdække risici efter en tilgang, der omfatter alle farer, herunder afdækning af enkelte fejlpunkter
- analysere risici under hensyn til efterretninger om trusler og sårbarheder
- udpege ansvarlige og tidspunkter for behandlingen
- dokumentere de valgte foranstaltninger i en risikobehandlingsplan og begrunde accepten af de resterende risici på en forståelig måde.
Enkelte fejlpunkter er steder, hvor én fejl kan standse en tjeneste. For en udbyder af cloud eller administrerede tjenester kan det være en enkelt forbindelse, en enkelt nøgleperson eller et enkelt administrationssystem.
Valget af behandling
Punkt 2.1.3 nævner det, enheden tager hensyn til, når den vælger, hvordan en risiko behandles. Det omfatter bl.a. resultaterne af effektivitetsvurderingen, gennemførelsesomkostninger i forhold til den forventede fordel, aktivklassifikationen efter punkt 12.1 og forretningskonsekvensanalysen efter punkt 4.1.3.
Koblingen til punkt 12.1 og 4.1.3 betyder, at en auditor ser efter sammenhæng. En risiko for et aktiv, der er klassificeret som kritisk, bør ikke behandles som en mindre risiko, uden at det er forklaret. Det er en tolkning af, hvordan punkterne spiller sammen. Om klassifikationen, se aktiver efter punkt 12, og om analysen, se forretningskonsekvensanalyse og backup.
Den årlige gennemgang
Efter punkt 2.1.4 tages både resultaterne af risikovurderingen og behandlingsplanen op efter en plan, og der må højst gå et år mellem to gange. De gennemgås også, når der sker væsentlige ændringer i drift eller risici, eller når der indtræffer væsentlige hændelser.
En auditor ser derfor på datoerne for de to seneste gennemgange og på, om der er sket noget i mellemtiden, der burde have udløst en ekstra. Et skift af hostingplatform, en ny stor kunde eller en væsentlig hændelse er tænkte eksempler.
Sådan prøver auditor punktet
Det følgende er almindelig auditpraksis.
Auditor læser den beskrevne metode, risikotolerancetærsklen og kriterierne. Dernæst den seneste risikovurdering og behandlingsplanen. Bagefter udtages et par risici som stikprøver, og auditor går hver af dem igennem fra analysen over planen og den indførte foranstaltning til accepten af den rest, der står tilbage.
Ved accepterne ser auditor efter to ting. Er accepten begrundet på en måde, en anden kan forstå? Og er den givet af ledelsesorganet eller af en person, der har bemyndigelsen, med rapportering til ledelsesorganet?
Til sidst ser auditor efter, om tærsklen faktisk bruges. Står der i metoden, at risici over et bestemt niveau ikke må accepteres, men en accepteret risiko ligger over niveauet, er det et fund. For lovens tilsvarende krav, se audit af risikovurderingen.
Metoden er jeres valg
Bilaget beder enheden følge en metode, men nævner ikke hvilken. En auditor kan derfor ikke forlange en bestemt standard eller et bestemt værktøj. Det, der kan forlanges, er en beskrevet metode, der bliver fulgt, og en tærskel og nogle kriterier, der bruges ens fra gang til gang. Skifter enheden metode, bør årsagen stå skrevet, så resultaterne fra før og efter kan sammenlignes.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrevet metode, en tærskel og kriterier, en plan med ansvarlige og datoer og en skriftlig accept af restrisici. Den årlige gennemgang skal i kalenderen. Har I allerede en risikoproces efter en standard, er arbejdet at kontrollere den mod 2.1.2 punkt for punkt.
Uden en plan og en begrundet accept kan ingen vise, hvorfor nogle risici er behandlet og andre ikke. Springes den årlige gennemgang over, brydes et af forordningens få faste intervaller, og datoerne afslører det med det samme.
Det skal I lade være med
- At lade gennemgangen glide over et år · punkt 2.1.4 sætter mindst én gang om året.
- At acceptere restrisici uden begrundelse · accepten skal være forståelig for en anden.
- At udelade enkelte fejlpunkter · de står udtrykkeligt i 2.1.2.
Det skal auditten kunne vise
- ☐ En beskrevet metode med risikotolerancetærskel og risikokriterier.
- ☐ En dateret risikovurdering, der omfatter alle farer og enkelte fejlpunkter.
- ☐ En risikobehandlingsplan med ansvarlige og tidspunkter.
- ☐ Begrundede accepter af restrisici og spor af rapportering til ledelsesorganerne.
- ☐ Datoer for gennemgange med højst et år imellem og ekstra gennemgange efter væsentlige ændringer.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilaget punkt 2.1, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find datoerne for de to seneste gennemgange af jeres risikovurdering, og tjek, at der er højst et år imellem.
Læs også: Risikoaccept og pligten i § 6, stk. 2 · Roller og ansvar efter punkt 1.2
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
