En NIS2 selvevaluering før auditten giver jer et overblik over, hvor I selv mener at stå på hver af lovens ti foranstaltninger. Den er et godt udgangspunkt for forberedelsen, og auditor vil bede om at se det dokument, den log eller den test, der ligger bag hvert svar.
Der findes skemaer fra myndighederne, som kan bruges. Udfyldt med beviset ved siden af sparer de tid i auditten, fordi I allerede har tænkt hvert område igennem.
To skemaer, der kan bruges som udgangspunkt
Fødevarestyrelsens værktøjer. Fødevarestyrelsen stiller et selvevalueringsværktøj og et risikovurderingsværktøj til rådighed i Excel. Ifølge styrelsens side kan de bruges til at kortlægge, hvor virksomheden står i forhold til de ti minimumskrav. Vi har ikke åbnet værktøjerne og beskriver ikke deres indhold eller skala. De er lavet til fødevaresektoren, men tager udgangspunkt i lovens krav.
Tilsynets spørgeskema til kommunerne. Som led i tilsynet med kommunerne udsendte Styrelsen for Samfundssikkerhed et spørgeskema i maj 2026. Skemaet er bygget efter de ti foranstaltninger og stiller spørgsmål pr. krav. Det er skrevet til kommuner. Private virksomheder kan bruge det som eksempel på, hvad en myndighed spørger om. Det er ikke givet, at de selv får samme skema. Hvordan en privat virksomhed kan bruge det som selvprøve, står i tilsynets spørgeskema som selvprøve.
Hvordan svarene bør gives
FAQ’en til kommunetilsynet siger, at et svar om en foranstaltning, der kun er delvist gennemført, skal angive, i hvilken grad den er gennemført. Svaret skal omfatte samtlige systemer og tage hensyn til, at kravene er risikobaserede. Varierer gennemførelsen mellem systemerne, bør enheden overveje, om variationen afspejler en dokumenteret, risikobaseret tilgang.
Det er skrevet til kommunerne. Det er alligevel en god disciplin i enhver selvevaluering. Et tænkt eksempel er et “ja” til MFA, der gælder fjernadgang og ikke administratorkonti. Det er i virkeligheden et “delvist”. Skriv hvor, og skriv hvorfor.
Hvorfor en egen vurdering ikke er bevis
En selvevaluering er et svar. Auditor leder efter det, der bekræfter svaret. Standarderne for intern revision beskriver, at bevis skal være relevant, pålideligt og tilstrækkeligt. Pålideligheden styrkes, når auditor selv har indhentet oplysningen, når den kommer fra en uafhængig kilde, eller når den er bekræftet af mere end én kilde.
Standarderne for finansiel revision siger desuden, at forespørgsel alene ikke er nok til at vise, at en kontrol er indført eller virker. Et skema er en form for forespørgsel, I har besvaret selv. Begge standarder er skrevet til andre formål. Pointen gælder også her.
Myndighedens vejledning går samme vej. For kravene skal enheden kunne lægge dokumentationen frem. For anbefalingerne skal enheden kunne forklare, hvorfor den ikke har fulgt dem. Mere om det i hvad der tæller som bevis.
Sådan gør I selvevalueringen nyttig
- Tilføj en kolonne til beviset. Ud for hvert svar noteres, hvilket dokument, udtræk eller referat der viser det, og hvor det ligger.
- Lad ejerne svare. Den, der har ansvaret for et område, svarer for det. Den sikkerhedsansvarlige samler.
- Skriv grad og omfang. “Delvist, gælder ikke for produktionsnettet” er mere brugbart end et kryds.
- Marker usikkerheden. Svar, I ikke kan finde bevis for, er de første, auditor bør se på.
- Sæt dato på. Et svar gælder den dag, det blev givet. Med datoen kan auditor se, hvor gammelt billedet er, og om noget kan have ændret sig siden.
- Brug den som forberedelse. Giv auditor selvevalueringen sammen med bevismappen, så arbejdet kan starte der, hvor I selv er usikre.
Selvevalueringen over tid
Gentages selvevalueringen med samme skema, kan I se, om områderne flytter sig. Det er nyttigt mellem de eksterne audits, beskrevet i egenkontrol og årshjul. Skal udviklingen måles med en egentlig model og skala, er det emnet for måling af sikkerhedsmodenhed.
Selvevalueringen kan også vise, at en audit ikke er det næste skridt endnu. Mangler der svar på flere af de ti punkter, kan det give mere at lukke de huller først og bestille auditten bagefter.
Hvad det kræver, og hvad det koster at lade være
En nyttig selvevaluering kræver, at hvert områdes ejer bruger tid på at svare ærligt og finde beviset frem. Den sikkerhedsansvarlige bruger tid på at samle og kvalitetssikre svarene.
Springes selvevalueringen over, bruger auditor tid på at finde ud af det, I kunne have fortalt. Udfyldes den uden beviser, giver den ledelsen et billede, auditten senere må rette, og det er sværere at forklare end et ærligt “delvist” fra starten.
Det skal I lade være med
- At sætte kryds uden bevis · det første, auditor gør, er at bede om dokumentet.
- At svare “ja” til noget, der kun delvist er gennemført · angiv graden og hvor.
- At læse kommunernes skema som jeres eget · det er et eksempel på myndighedens spørgsmål.
Det skal auditten kunne vise
- ☐ En selvevaluering pr. foranstaltning med grad og omfang.
- ☐ Henvisning til bevis ud for hvert svar.
- ☐ Svar uden bevis, markeret og prioriteret.
- ☐ Auditors vurdering af, hvor selvevalueringen holdt, og hvor ikke.
Kilder
- Fødevarestyrelsen, Cybersikkerhed (NIS 2), https://www.foedevarestyrelsen.dk/kost-og-foedevarer/kontrol/cybersikkerhed-nis-2, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026 (19. maj 2026), https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn med kommuner 2026, FAQ (opdateret 4. juni 2026), https://samsik.dk/wp-content/uploads/2026/02/FAQ-04-06-2026.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- The Institute of Internal Auditors, Global Internal Audit Standards (offentliggjort 9. januar 2024), standard 14.1, https://www.theiia.org/globalassets/site/standards/editable-versions/globalinternalauditstandards_2024january9_editable.pdf, læst 12. november 2026.
- IAASB, ISA 315 (Revised 2019) med følgeændringer, A177 og ISA 330 A26, https://www.iaasb.org/_flysystem/azure-private/publications/files/ISA-315-Full-Standard-and-Conforming-Amendments-2019-.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal, bør og kan · Forløbet i en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
