Auditten af § 6, stk. 1, nr. 5, ser efter, om jeres procedurer for sikkerhed ved anskaffelse, udvikling og vedligeholdelse er blevet brugt på konkrete sager. Den vælger et system, I har købt, et, I har ændret, og et, I har taget ud af drift, og følger hvert af dem gennem den livscyklus, vejledningen beskriver.
Punktet er bredt og overses ofte, fordi det ligger mellem indkøb, udvikling og drift, og ingen af dem føler sig som ejer.
Lovteksten
Femte punkt i lovens § 6, stk. 1, handler om sikkerheden, når systemer købes, bygges og holdes ved lige. Sårbarheder og offentliggørelsen af dem hører med under samme nummer. Bemærkningerne til loven, som myndighedens vejledning fra juni 2025 citerer, kræver, at procedurerne udspringer af informationssikkerhedspolitikken.
Sårbarhedsdelen har sin egen artikel om sårbarhedshåndtering og opdatering. Her handler det om livscyklussen.
Fire procedurer, vejledningen kræver
Vejledningen har ét “skal” med fire led. Enheden skal have dokumenterede procedurer for cybersikkerhed ved anskaffelse fra tredjepart, ved udvikling, ved vedligeholdelse og ved afvikling eller bortskaffelse af net- og informationssystemer.
Livscyklussen beskrives i vejledningen som anskaffelse, implementering eller indfasning, drift, udfasning og terminering eller bortskaffelse. Auditor bruger den som skabelon og spørger, om hvert led har en procedure, og om proceduren nævner sikkerhed.
Den sidste fase har sin egen artikel om udfasning og bortskaffelse.
Det, procedurerne kan indeholde
Om indholdet bruger vejledningen “kan”. Procedurerne kan sikre opdateringer i hele produktets levetid, beskrive konfigurationsstyring og ændringsstyring, fastlægge test fra gennemgang af opsætningen til test af den samlede sikkerhed og have regler for sikker udvikling, som vejledningen kalder Security by Design. Segmentering efter, hvor kritiske systemerne er, og beskyttelse mod skadelig software er også nævnt.
Auditor kan ikke kræve hvert punkt. Mangler et af dem, spørger auditor, hvordan risikoen er dækket på anden måde, og om fravalget er en bevidst beslutning.
Dokumentationen bør efter vejledningen gennemgås med planlagte mellemrum eller ved væsentlige hændelser.
Anskaffelsen som stikprøve
Arbejdsmetoden i resten af artiklen er almindelig auditpraksis og ikke et krav i loven.
Auditor vælger et system, der er købt inden for den seneste periode, og beder om sagen. Var der sikkerhedskrav i kravspecifikationen eller udbudsmaterialet? Blev leverandørens svar vurderet af en med forstand på sikkerhed? Er der aftalt, hvor længe leverandøren leverer sikkerhedsopdateringer?
Spørgsmålene hænger sammen med leverandørstyringen, fordi det er ved anskaffelsen, aftalen skrives. Det uddybes i audit af leverandørstyringen.
Vejledningen nævner i en fodnote, at produkter med digitale elementer vil skulle leve op til EU’s forordning 2024/2847, Cyber Resilience Act, som gradvist implementeres frem til december 2027. For en virksomhed, der køber sådanne produkter, kan det blive et punkt i kravspecifikationen.
Ændringen som stikprøve
Næste sag er en ændring i et eksisterende system. Auditor følger den gennem ændringsstyringen. Er ændringen registreret, vurderet for risiko, godkendt, testet og dokumenteret? Er den testet i et miljø, der ligner drift? Er der en vej tilbage, hvis ændringen fejler?
Udvikler I selv, kigger auditor også på reglerne for sikker udvikling og på, om de bruges. En kodegennemgang eller en sikkerhedstest før idriftsættelse er spor, auditor kan bruge. Hvordan I vælger testtyper og hyppighed, gennemgås i tekniske test valgt ud fra risiko.
Vedligeholdelsen
Den tredje sag er et system i drift. Auditor ser efter, om det stadig får opdateringer, om leverandøren stadig understøtter det, og om opsætningen er dokumenteret. Et system, der kører videre uden opdateringer, fordi ingen har besluttet at udskifte det, er et oplagt spørgsmål i auditten.
Kommunerne fik i 2026 et tilsynsskema fra styrelsen, hvor et særskilt udsagn gjaldt proceduren ved afvikling og bortskaffelse. Skemaet var ikke rettet mod private.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at indkøb, udvikling og drift bliver enige om, hvem der ejer sikkerheden i hver fase, og at det står i procedurerne. Har I en ændringsstyring i forvejen, kan opgaven være at tilføje sikkerhed som et fast punkt og gøre det samme ved indkøb.
Lader I det ligge, kommer nye systemer ind uden sikkerhedskrav, og gamle systemer bliver stående uden opdateringer. Den slags huller er svære at lukke bagefter, fordi aftalen allerede er underskrevet.
Det skal I lade være med
- At købe først og spørge til sikkerheden bagefter · kravene skal ind, før aftalen underskrives.
- At lade ændringer gå uden om ændringsstyringen, fordi de er små · små ændringer kan også åbne huller.
- At lade et system køre videre uden en beslutning om opdateringer · vedligeholdelsen er en af de fire procedurer.
Det skal auditten kunne vise
- ☐ Dokumenterede procedurer for sikkerhed ved anskaffelse, udvikling, vedligeholdelse og afvikling.
- ☐ Sikkerhedskrav i kravspecifikationen for et nyligt anskaffet system.
- ☐ En ændring, der er registreret, vurderet, godkendt og testet.
- ☐ Regler for sikker udvikling, hvis I udvikler selv.
- ☐ En oversigt over systemer, hvor leverandøren ikke længere leverer opdateringer, med en beslutning for hvert.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kap. 5, afsnit 5.a og fodnote 11, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, https://samsik.dk/wp-content/uploads/2026/05/Spoergeskema-kommunerne-2026.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det seneste system, I har købt, og se efter, om der stod sikkerhedskrav i kravspecifikationen.
Læs også: Aktivregistret · Udfasning og bortskaffelse af systemer
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
