Seks slags sikkerhedsaudit: hvilken svarer på jeres spørgsmål?

Ordet sikkerhedsaudit bruges om mange forskellige opgaver, og den rigtige afhænger af, hvad I vil vide, og hvem der skal bruge svaret. Her er de seks slags, I oftest vil møde, beskrevet ud fra spørgsmålet, de besvarer, hvad de måler imod, og hvem der læser resultatet. Den første er den brede sikkerhedsaudit, som her er beskrevet sammen med NIS2-auditten, dens variant for virksomheder under NIS 2-loven. Begge er emnet for resten af dette site. De fem andre har hver deres specialiserede sider, som teksten fører videre til.

Den brede sikkerhedsaudit

Den brede audit spørger, om virksomhedens styring og praksis på IT-sikkerheden holder mål med det, I har valgt at blive målt imod. Målestokken kan være egen politik, et rammeværk, en kundes krav eller myndighedernes råd, og auditkriterierne skal stå i opdraget, før arbejdet begynder. Resultatet er en rapport til ledelsen med fund og anbefalinger. For den mindre virksomhed uden sikkerhedsansvarlig findes en kortere udgave, IT-sikkerhedstjekket, der ser på de vigtigste områder og prioriterer.

• Spørgsmålet · lever vores sikkerhed op til den målestok, vi har valgt?
• Modtageren · ledelse og bestyrelse, og i uddrag kunder eller forsikring.
• Læs videre · Sikkerhedsaudit forklaret.

NIS2-auditten

Målestokken i NIS2-auditten er NIS 2-loven med bekendtgørelser og, når virksomheden er en digital enhed, forordning 2024/2690. Den spørger, om foranstaltningerne findes og virker, om ledelsesorganet har godkendt dem og fører tilsyn, og om virksomheden kan underrette inden for fristerne. Loven kræver ikke en ekstern audit af alle, men den kræver en vurdering af, om foranstaltningerne er effektive, og myndigheden kan pålægge en audit. Mere om det i artiklen om lovens krav til audit.

• Spørgsmålet · kan vi vise tilsynet, at vi lever op til loven?
• Modtageren · ledelsesorganet og, hvis det bliver bedt om, myndigheden.
• Læs videre · NIS2-audit: grundlag og afgrænsning.

Leverandøraudit

Her er det forholdet mellem kunde og IT-leverandør, der er i fokus. Kunden vil vide, om leverandøren passer på de systemer og data, kunden har betroet den, og det kræver revisionsret i aftalen, en læsning af de erklæringer, leverandøren udleverer, og et tilsyn med databehandlere. Den side af sagen gennemgås grundigt under audit af IT-leverandører og databehandlere. På dette site møder I emnet, hvor NIS2-kravet om forsyningskæden eller en kundes krav til jer kommer på tale, fx i Audit af jeres leverandørstyring.

• Spørgsmålet · passer leverandøren på det, vi har lagt hos den?
• Modtageren · indkøber, kontraktejer og ledelse hos kunden.

Audit i den offentlige sektor

Kommuner, regioner og statslige myndigheder har regler, tilsyn og revision, som ikke findes i private virksomheder, bl.a. Rigsrevisionen og de offentlige sikkerhedsstandarder. Teksterne her er skrevet til private virksomheder. Arbejder I i det offentlige, er IT-audit i kommuner, regioner og staten det rette sted at læse videre.

• Spørgsmålet · lever myndigheden op til de regler, der kun gælder i det offentlige?
• Modtageren · ledelse, DPO, revision og tilsyn i den offentlige organisation.

Modenhedsvurdering

En modenhedsvurdering spørger, hvor solidt sikkerhedsarbejdet står i hvert område, og hvilket trin der kommer som det næste. Den bruges typisk i større virksomheder og koncerner, der vil måle udviklingen over flere år og rapportere den til bestyrelsen. Forskellen er beskrevet i Modenhedsvurdering eller efterlevelsesaudit, og metoden til at følge sikkerhedsmodenheden over tid har sine egne sider.

• Spørgsmålet · hvor langt er vi, og bevæger vi os i den rigtige retning?
• Modtageren · CISO, IT-direktør og bestyrelse.

Teknisk gennemgang

En teknisk gennemgang ser på, hvordan systemerne faktisk er sat op: konfigurationer, rettigheder, opdateringer og logning, kontrolleret med udtræk fra systemerne. Den finder fejlene, mens audit af styringen forklarer, hvorfor de opstår, som Teknisk gennemgang eller audit af styringen beskriver. Kontrolpunkterne ét for ét og det tekniske bevis findes under teknisk gennemgang af de enkelte kontrolpunkter.

• Spørgsmålet · er systemerne sat sikkert op lige nu?
• Modtageren · IT-chef og driftsansvarlige.

Gennemgang af softwareprodukter efter Cyber Resilience Act

Udvikler virksomheden software, der gøres tilgængeligt på markedet, kan forordningen om cyberrobusthed stille krav til selve produktet og til udviklingsprocessen. Det er en anden genstand end virksomhedens egen IT, og Audit af virksomheden eller af softwareproduktet forklarer skellet. Gennemgang af fysiske produkter hører ikke med her. Kravene til producenter af software er samlet under Cyber Resilience Act for softwareproducenter.

• Spørgsmålet · er produktet, vi sælger, udviklet og vedligeholdt efter kravene?
• Modtageren · ledelse og udviklingsansvarlige hos producenten.

Hvilken slags passer til spørgsmålet?

• Lever vores sikkerhed op til den målestok, vi har valgt? · Slags audit: Bred sikkerhedsaudit · Hvem læser resultatet: Ledelse og bestyrelse
• Hvad skal vi rette først, når vi ingen sikkerhedsansvarlig har? · Slags audit: IT-sikkerhedstjek · Hvem læser resultatet: Ejerleder og ledelse
• Kan vi vise tilsynet, at vi lever op til NIS 2-loven? · Slags audit: NIS2-audit · Hvem læser resultatet: Ledelsesorgan og myndighed
• Passer vores IT-leverandør på det, vi har lagt hos den? · Slags audit: Leverandøraudit · Hvem læser resultatet: Kontraktejer og ledelse
• Lever vi som offentlig myndighed op til de offentlige regler? · Slags audit: Offentlig IT-audit · Hvem læser resultatet: Ledelse og revision i det offentlige
• Hvor langt er vi, og bliver vi bedre år for år? · Slags audit: Modenhedsvurdering · Hvem læser resultatet: CISO og bestyrelse
• Er systemerne sat sikkert op lige nu? · Slags audit: Teknisk gennemgang · Hvem læser resultatet: IT-chef og drift
• Er det softwareprodukt, vi sælger, i orden efter forordningen? · Slags audit: Gennemgang efter Cyber Resilience Act · Hvem læser resultatet: Ledelse og udvikling

Flere spørgsmål kan godt samles i ét opdrag, fx en bred audit med en teknisk del. Kombinationen skal stå i opdraget, så rapporten svarer på hvert spørgsmål for sig. Opbygningen er beskrevet i opdraget på én side.

Det skal I lade være med

• At bestille en teknisk gennemgang, når spørgsmålet er styring · I får en liste over fejl uden årsag.
• At kalde en modenhedsvurdering for efterlevelse · den svarer på et andet spørgsmål.
• At blande produktet og virksomheden i én rapport uden at skille dem · regelsættene er forskellige.

Det skal valget kunne vise

• ☐ Det spørgsmål, I vil have besvaret.
• ☐ Den slags audit, der passer til det.
• ☐ Hvem der skal læse resultatet.
• ☐ Om flere slags skal kombineres i samme opdrag.

Senest gennemgået: november 2026.

Næste skridt

• Sikkerhedsaudit forklaret
• NIS2-audit: grundlag og afgrænsning

Læs også: Sikkerhedsaudit, penetrationstest eller sårbarhedsscanning · Intern og ekstern audit

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT