NIS 2-loven giver to forskellige myndigheder mulighed for at scanne jeres systemer udefra. CSIRT’en kan efter anmodning fra jer foretage en proaktiv scanning af de systemer, I bruger til at levere jeres tjenester. Tilsynsmyndigheden kan foretage sikkerhedsscanninger som led i tilsynet.
De to har forskelligt formål og forskellig hjemmel. Hvordan de bruges i praksis, og om resultaterne udleveres, har vi ikke fundet beskrevet. Artiklen holder sig til lovteksten og bemærkningerne.
CSIRT’ens scanning efter anmodning
Efter § 17, stk. 1, nr. 3, foretager CSIRT’en efter anmodning fra en væsentlig eller vigtig enhed en proaktiv scanning af de net- og informationssystemer, enheden bruger til at levere sine tjenester. Den nationale CSIRT er Forsvarets Efterretningstjeneste, ifølge Styrelsen for Samfundssikkerheds NIS 2-side.
Lovbemærkningerne forklarer, at ministeriet forstår “scanning” som både indgribende og ikke-indgribende, og at scanning efter nr. 3 forudsætter, at enheden har anmodet om den. CSIRT’en kan prioritere risikobaseret og i særlige tilfælde afvise en anmodning.
Det er altså en mulighed, I selv kan tage initiativ til. Fremgangsmåden for en anmodning, scanningens omfang og det, I får retur, står ikke i det materiale, vi har gennemgået.
CSIRT’ens scanning uden anmodning
Bemærkningerne nævner også, at CSIRT’en uden anmodning kan foretage proaktiv ikke-indgribende scanning af offentligt tilgængelige systemer. Ministeriet vurderer, at det ikke kræver udtrykkelig lovhjemmel. Efter direktivet må scanningen ikke have negativ indvirkning på tjenesterne.
Det betyder, at jeres offentligt tilgængelige systemer kan blive scannet, uden at I har bedt om det. Om I får besked om resultatet, siger kilderne ikke.
Tilsynets sikkerhedsscanning
Tilsynsmyndigheden har en anden hjemmel. Over for væsentlige enheder står den i § 21, stk. 1, nr. 4, og over for vigtige enheder i § 24, stk. 1, nr. 3. Bemærkningerne uddyber ikke, hvad en sådan scanning indeholder.
Bødebestemmelsen i § 32, stk. 1, nr. 5, om at hindre tilsyn omfatter efter ordlyden de punkter i §§ 21 og 24, hvor sikkerhedsscanningen står. Hvordan tilsyn og en audit, I selv bestiller, adskiller sig, står i audit og tilsyn.
Hvad vi ikke ved
Vi har ikke fundet offentligt beskrevet praksis for CSIRT’ens scanning, og vi ved ikke, om resultater fra den udleveres til enheden eller til tilsynsmyndigheden. Vi skriver derfor ikke noget om, hvordan resultaterne bruges. Har I fået en scanning foretaget, kan I spørge CSIRT’en direkte.
Scanningen som en del af jeres egen effektivitetsvurdering
Det følgende er praksis. § 6, stk. 1, nr. 6, kræver politikker og procedurer til at vurdere, om foranstaltningerne virker. Scanning udefra er én af flere metoder til det, sammen med fx sårbarhedsscanning, som I selv bestiller, og penetrationstest. Hvad de forskellige metoder kan svare på, står i sikkerhedsaudit, penetrationstest eller sårbarhedsscanning.
Har I resultater fra en scanning, uanset hvem der har lavet den, bør de behandles som fund: med vurdering, ejer og frist. En auditor kan se, om fundene er fulgt op. Hvordan beslutningen om tekniske test træffes, står i beslutningen om tekniske test.
Overblik over det, der kan ses udefra
En scanning udefra kan kun ramme det, der er synligt udefra. Det følgende er praksis. Ved I selv, hvilke systemer, adresser og tjenester der er tilgængelige fra internettet? Registreringen efter NIS 2 omfatter for nogle enheder IP-intervaller, som beskrevet i registreringen efterprøvet. Et opdateret overblik er forudsætningen for at kunne vurdere et scanningsresultat.
Hvem i virksomheden tager imod?
Det følgende er praksis. En henvendelse fra CSIRT’en eller tilsynsmyndigheden om en scanning bør gå til en fast modtager, som ved, hvem der skal involveres. Den samme vej kan bruges, hvis I selv vil anmode CSIRT’en om en scanning. Beslutningen om at anmode bør tages af en, der har mandat, fordi en indgribende scanning kan påvirke drift. Notér beslutningen og begrundelsen, så den kan indgå i jeres vurdering af foranstaltningernes effektivitet.
Resultater fra en scanning, I selv har bedt om, kan også bruges som bevis i en audit, hvis det fremgår, hvad der er scannet, hvornår, og hvordan fundene er fulgt op.
Hvad det kræver, og hvad det koster at lade være
At være klar til en scanning kræver et overblik over jeres eksponerede systemer og en procedure for at håndtere fund udefra. At anmode CSIRT’en om en scanning kræver, at I kender vejen dertil, og det har vi ikke kunnet beskrive.
Uden overblik kan et fund pege på et system, ingen i virksomheden kender. Det er i sig selv et fund om aktivregistret.
Det skal I lade være med
- At blande CSIRT’ens scanning og tilsynets scanning sammen · hjemmel og formål er forskellige.
- At gå ud fra, at CSIRT’ens resultater går til tilsynet · det siger kilderne ikke.
- At lade scanningsresultater ligge uden ejer · de er fund som alle andre.
Det skal auditten kunne vise
- ☐ Et overblik over systemer og adresser, der er tilgængelige udefra.
- ☐ En procedure for at håndtere resultater fra scanninger, uanset afsender.
- ☐ Fund fra scanninger med vurdering, ejer og frist.
- ☐ Hvem der giver myndigheden adgang ved tilsyn, herunder scanning.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 17, 21, 24 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 17, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2, https://samsik.dk/nis2/, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Aktivregistret · Audit af sårbarhedshåndtering
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
