Et IT-sikkerhedstjek er nok, når virksomheden har brug for at vide, hvad der er vigtigst at rette, og ingen udefra stiller krav til, hvordan svaret skal se ud. En fuld audit er det rigtige valg, når en lov, en kunde, en forsikring eller en bestyrelse skal have et dokumenteret svar målt mod bestemte kriterier, eller når IT-miljøet er så sammensat, at få områder ikke giver et dækkende billede.
Mange mindre virksomheder står med spørgsmålet “it sikkerhedstjek eller audit?” uden at vide, hvad forskellen er ud over omfanget. Forskellen ligger i, hvad svaret skal bruges til.
Hvad der adskiller de to
Tjekket er en fokuseret gennemgang af de vigtigste områder: adgange, mail, backup, opdateringer, fjernadgang og leverandører. Det er kortere og passer til virksomheder, der endnu ikke har en egentlig sikkerhedsopsætning eller en sikkerhedsansvarlig. Resultatet er en kort rapport med fund og en rækkefølge for rettelserne.
Den fulde audit dækker alle relevante områder i dybden. Den omfatter typisk en gennemgang af politikker og andre dokumenter, en vurdering af, hvor godt virksomheden kan modstå og komme sig over en hændelse, og flere former for bevis, fx interviews, stikprøver og tekniske udtræk. Den måles mod kriterier, der er aftalt på forhånd, og rapporten kan bruges over for andre end ledelsen.
Begge bør være uvildige og bygge på bevis. Forskellen er dybden, bredden, og hvem der skal kunne læse resultatet.
Fire spørgsmål, der afgør valget
Opstillingen her er praksis og et forslag til, hvordan valget kan træffes.
1. Stiller nogen udefra krav? Gælder NIS 2-loven for virksomheden, kræver § 6 foranstaltninger på mindst ti områder, og ledelsesorganet godkender og følger dem efter § 7. Et tjek af seks områder dækker ikke det. Kræver en stor kunde svar på et detaljeret skema, eller vil forsikringen have dokumentation, kan det samme gælde.
2. Skal resultatet læses af andre end ledelsen? Skal en bestyrelse, en kunde eller en myndighed kunne se, hvad der er gennemgået, og mod hvilke kriterier, er en fuld audit med et beskrevet opdrag lettere at stå på.
3. Hvor sammensat er IT-miljøet? Har virksomheden egne servere, flere lokationer, egenudviklede systemer eller mange leverandører, kan seks områder overse noget væsentligt.
4. Hvor meget står på spil? Behandler virksomheden følsomme personoplysninger, eller står forretningen stille uden IT, bør gennemgangen være grundigere. Databeskyttelsesforordningens artikel 32 kræver et sikkerhedsniveau, der passer til risiciene.
Er svaret nej til alle fire, er et tjek et godt sted at begynde. Er svaret ja til et eller flere, bør den fulde audit overvejes, eventuelt afgrænset til de områder, hvor kravet ligger.
Ét forhold indgår bevidst ikke blandt spørgsmålene, nemlig antallet af ansatte. To virksomheder af samme størrelse kan have helt forskellige krav og risici. Et lille ingeniørfirma, der leverer til en NIS 2-omfattet kunde, kan have større brug for en fuld audit end en større detailhandel uden særlige krav.
Tjekket som første skridt
Et tjek kan også være vejen til en fuld audit. Virksomheden får rettet det vigtigste, får et overblik og vænner sig til at arbejde med fund og frister. Når kravene vokser, eller virksomheden har fået mere styr på sin sikkerhed, kan den fulde audit bygge videre på det, tjekket har vist.
Et tænkt eksempel: En rådgivningsvirksomhed får et tjek, der viser, at backuppen aldrig er prøvet gendannet, og at tidligere ansatte har adgang. Det bliver rettet. Et år efter beder en ny, stor kunde om dokumentation efter et omfattende skema. Nu er det tid til en audit målt mod kundens krav, og flere af svarene er allerede på plads.
Hvornår et andet tjek bør udvides til en audit, står i andet sikkerhedstjek et år efter.
Den fulde audit som første skridt
Omvendt kan det være spild at begynde med et tjek, hvis kravet allerede er der. En NIS 2-omfattet virksomhed, der får et tjek, får ikke svar på det, ledelsesorganet skal tage stilling til. Så er det bedre at begynde med en afgrænset audit. Hvordan en audit afgrænses, er beskrevet i afgrænsning af en sikkerhedsaudit.
Hvad det kræver, og hvad det koster at lade være
Valget kræver, at ledelsen tager stilling til de fire spørgsmål og ved, hvilke krav virksomheden er underlagt. Er det uklart, om en lov eller en kontrakt stiller krav, er det første opgave at finde ud af det.
Vælges for lidt, kommer svaret ikke til at dække kravet, og gennemgangen skal tages om. Vælges for meget, bruger virksomheden tid og penge på dybde, den ikke har brug for, og de vigtigste rettelser kan drukne i en lang rapport.
Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At vælge efter omfanget alene · det afgørende er, hvem der skal bruge svaret.
- At bruge et tjek til at opfylde NIS 2 · seks områder dækker ikke lovens ti.
- At bestille dybde, ingen har bedt om · de vigtigste fund drukner.
Det skal auditten kunne vise
- ☐ Hvilke krav udefra virksomheden er underlagt, og hvordan gennemgangen dækker dem.
- ☐ Hvorfor der er valgt et tjek eller en fuld audit.
- ☐ Hvilke områder der er gennemgået, og hvilke der er holdt ude.
- ☐ Hvem rapporten er skrevet til.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6 og § 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Forordning (EU) 2016/679, artikel 32, https://publications.europa.eu/resource/celex/32016R0679, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad indgår i en sikkerhedsaudit · Kunden kræver dokumentation
→ Kontakt · Tlf. 70 13 63 23 · IT-sikkerhedstjek for SMV hos Nielco IT
