Efter punkt 1.2 i forordning 2024/2690’s bilag skal mindst én person rapporterer direkte til ledelsesorganerne om sikkerheden i net- og informationssystemerne. Det kræver også, at modstridende opgaver og ansvarsområder holdes adskilt, hvor det er relevant, og at ledelsen gennemgår rollerne jævnligt.
For en digital enhed er det bindende organisationskrav. Auditten kan ikke nøjes med et organisationsdiagram. Den skal se, at rapporteringen sker, at adskillelsen holder i praksis, og at fravalg er begrundet.
Hvad punkt 1.2 kræver
Punktet har seks led.
- 1.2.1 Ansvarsområder og bemyndigelser fastlægges som led i sikkerhedspolitikken, fordeles efter rolle og meddeles ledelsesorganerne.
- 1.2.2 Personale og tredjeparter skal anvende sikkerheden i overensstemmelse med politikkerne.
- 1.2.3 Mindst én person skal rapportere direkte til ledelsesorganerne om spørgsmål vedrørende sikkerheden i net- og informationssystemer.
- 1.2.4 Afhængigt af størrelsen skal sikkerheden være omfattet af særlige roller eller opgaver ud over de eksisterende roller.
- 1.2.5 Modstridende forpligtelser og modstridende ansvarsområder adskilles, hvor det er relevant.
- 1.2.6 Ledelsesorganerne gennemgår roller, ansvar og bemyndigelser efter en fast plan og igen efter store ændringer eller hændelser.
Punktet hænger sammen med 1.1.1. Sikkerhedspolitikken skal bl.a. fastsætte rollerne efter 1.2 og angive datoen for ledelsesorganernes formelle godkendelse. Politikken gennemgås mindst én gang om året efter 1.1.2, og resultatet dokumenteres.
Den direkte rapportering
Punkt 1.2.3 siger “direkte”. Går sikkerhedsrapporteringen fra den sikkerhedsansvarlige over IT-chefen og direktøren, før den når ledelsesorganet, er det svært at se, hvem der rapporterer direkte. Den læsning er en tolkning af ordlyden, men den er nærliggende.
Hvem ledelsesorganet er, afhænger af selskabsformen, og det bør stå i rollebeskrivelsen. Hvilke referater og bilag der viser ledelsens behandling, er gennemgået i artiklen om referatpunkt, bilag og dato.
Forordningen siger ikke, hvor ofte personen skal rapportere, eller i hvilken form. En auditor ser derfor efter, at rollen er beskrevet, at personen er navngivet, og at der findes rapporter eller referater, der viser, at linjen bruges.
Adskillelse af modstridende opgaver
Punkt 1.2.5 gælder “hvor det er relevant”. Fravælger en enhed adskillelsen, skal den efter artikel 2, stk. 2, dokumentere en forståelig begrundelse.
Forordningens betragtning 5 nævner, at mikroenheder, der ikke kan adskille modstridende opgaver, kan overveje målrettet tilsyn fra ledelsens side eller øget overvågning og logning. Betragtningen er ikke bindende tekst, men den viser, hvad forordningen forestiller sig som kompenserende foranstaltninger. Mere om begrundelserne står i artikel 2, stk. 2.
Et tænkt eksempel er en udbyder med fem ansatte, hvor den samme person opretter administratorkonti og godkender dem. Begrundelsen for fravalget kan være størrelsen. Den kompenserende foranstaltning kan være, at direktøren hver måned får en liste over nye og ændrede administratorkonti og kvitterer for den.
Hvilke opgaver der modstrider hinanden, siger forordningen ikke. Typiske par i en auditors øjne er den, der ændrer et system, og den, der godkender ændringen, eller den, der administrerer logningen, og den, hvis handlinger logges. Det er auditpraksis og ikke forordningens liste.
Ledelsens gennemgang
Punkt 1.2.6 lægger gennemgangen hos ledelsesorganerne. Det er ikke nok, at IT-chefen opdaterer et diagram. Auditor ser efter et referat eller en godkendelse, der viser, at ledelsesorganet har set rollerne efter en reorganisering, et skift af sikkerhedsansvarlig eller en stor hændelse.
Sådan prøver auditor punktet
Det følgende er almindelig auditpraksis.
Auditor læser politikken og rollebeskrivelserne og ser på godkendelsesdatoen. Dernæst beder auditor om dokumentation for den direkte rapportering det seneste år. Et interview med den person, der rapporterer, viser, om linjen bruges i praksis.
For adskillelsen vælger auditor et par kritiske processer, fx ændringer i produktion og tildeling af administratorrettigheder, og ser i logs eller sagssystem, hvem der udførte og hvem der godkendte. Er det samme person, ser auditor efter en begrundelse og en kompenserende foranstaltning. Metoden går ud på at tage én konkret sag og se hvert led i den, se sagen som auditmetode.
Hvad det kræver, og hvad det koster at lade være
Det kræver en rollebeskrivelse, der navngiver den, der rapporterer direkte, en oversigt over modstridende opgaver og en beslutning om, hvordan de adskilles. I en mindre enhed kræver det også begrundede fravalg og kompenserende foranstaltninger. Ledelsesorganet skal sætte gennemgangen på dagsordenen.
Uden direkte rapportering får ledelsen sin viden om sikkerheden gennem flere led. Uden adskillelse kan én person ændre og godkende sit eget arbejde uden spor. Begge dele er bindende krav, og begge kan ses på papir og i logs.
Det skal I lade være med
- At lade rapporteringen gå gennem flere mellemled · punkt 1.2.3 kræver en direkte linje.
- At acceptere modstridende roller uden begrundelse · fravalg skal dokumenteres efter artikel 2, stk. 2.
- At lade IT-chefen gennemgå rollerne alene · punkt 1.2.6 lægger det hos ledelsesorganerne.
Det skal auditten kunne vise
- ☐ Godkendte rollebeskrivelser med ansvar og bemyndigelser.
- ☐ En navngiven person med direkte rapportering til ledelsesorganerne og spor af rapporterne.
- ☐ En oversigt over modstridende opgaver og hvordan de er adskilt.
- ☐ Begrundelser og kompenserende foranstaltninger, hvor adskillelse er fravalgt.
- ☐ Referater, der viser ledelsesorganernes gennemgang af rollerne.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, betragtning 5, artikel 2 og bilaget punkt 1.1 og 1.2, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv navnet på den person, der rapporterer direkte til jeres ledelsesorgan om sikkerheden, og find datoen for den seneste rapport.
Læs også: Privilegerede konti efter punkt 11 · Den mindre NIS2-virksomhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
