Lovteksten undtager ikke frivillige auditrapporter fra myndighedens adgang til oplysninger og dokumenter. Om netop jeres rapport er omfattet, afhænger af, hvad anmodningen angiver som formål, og hvilke oplysninger den præciserer.
Spørgsmålet dukker typisk op, når en anmodning fra myndigheden lander hos den sikkerhedsansvarlige, og der i skuffen ligger en rapport med fund, der endnu ikke er rettet. Denne artikel gengiver lovens ordlyd og bemærkningerne. Den er ikke juridisk rådgivning om en konkret sag.
Det, myndigheden kan kræve
NIS 2-loven giver myndigheden ret til at kræve tre ting af en væsentlig enhed (§ 21, stk. 1, nr. 5-7) og tilsvarende af en vigtig enhed (§ 24, stk. 1, nr. 4-6). Det er oplysninger, der er nødvendige for at vurdere foranstaltningerne. Det er adgang til data, dokumenter og oplysninger, der er nødvendige for tilsynsopgaven. Og det er dokumentation for, at cybersikkerhedspolitikkerne er gennemført.
Ingen af de tre bestemmelser skelner mellem dokumenter, I har lavet af egen drift, og dokumenter, I har fået lavet til myndigheden. Efter lovens ordlyd er en frivillig rapport derfor et dokument som andre. Det er vores læsning af teksten.
Anmodningen skal angive formål og form
Myndigheden kan ikke bede om alt på én gang uden at forklare sig. Bestemmelserne i § 21, stk. 2, og § 24, stk. 2, pålægger den at oplyse formålet og præciserer, hvad der skal udleveres, hvordan, og i hvilken form. Ifølge bemærkningerne kan myndigheden fx stille krav om et bestemt skema eller om indtastning på en hjemmeside.
Det giver jer et konkret arbejdsgrundlag. Læs anmodningen punkt for punkt. Skriv for hvert punkt, hvilket dokument der svarer på det. Hvis et punkt beder om dokumentation for, at I vurderer effektiviteten af jeres foranstaltninger, kan en auditrapport være det mest direkte svar. Beder anmodningen om jeres risikovurdering, er rapporten måske slet ikke relevant.
Retten til ikke at inkriminere sig selv
Lovbemærkningerne vurderer, at tilsynsforanstaltningerne er omfattet af retssikkerhedsloven, så retten til ikke at inkriminere sig selv skal overholdes. Faktuelle oplysninger kan dog kræves. Hvornår den regel kan føre til, at et dokument ikke udleveres, er en juridisk vurdering i den enkelte sag, og den hører hjemme hos en advokat.
Hvorfor spørgsmålet ikke bør stå alene
Bemærkningerne nævner, at NIS 1-direktivet som eksempel på dokumentation pegede på resultaterne af en sikkerhedsaudit. En rapport er altså en form for bevis, lovgiver har haft i tankerne. Det gør det naturligt at forvente, at den kan komme på tale.
Det rigtige spørgsmål er derfor sjældent, om rapporten kan holdes ude. Det er, om den viser, at I har handlet på den. En rapport med fem fund og en handlingsplan med ejere, frister og status siger noget andet end en rapport, ingen har fulgt op på. Se fra fund til handlingsplan.
Konsekvensen af ikke at svare
Manglende efterlevelse af en afgørelse efter § 21, stk. 1, nr. 5-7, er strafbar. Sanktionen er bøde, jf. § 32, stk. 1, nr. 4. Er I i tvivl om, hvad en anmodning omfatter, er det mere sikkert at spørge myndigheden end at gætte. Spørgsmålet og svaret dokumenteres.
Skriv rapporten, så den kan læses af andre
En frivillig rapport bliver ofte skrevet til ledelsen alene. Men vil I kunne bruge den over for et tilsyn, bør det fremgå af den, hvilke kriterier der er målt imod, hvilken periode den dækker, og hvilket bevis hvert fund bygger på. Opbygningen er beskrevet i NIS2-auditrapporten, og hvordan rapporten indgår i ledelsens tilsyn, står i auditrapporten som dokumentation.
En fast vej for anmodninger
Det følgende er praksis. Giv anmodninger fra myndigheden et fast forløb, så de ikke ender i en enkelt indbakke. Registrér datoen, hvem der har modtaget brevet, og fristen. Udpeg én, der koordinerer svaret, og én i ledelsen, der godkender det. Gem det sendte svar sammen med anmodningen, så det kan findes ved næste tilsyn. Forløbet kan prøves af i en audit med et tænkt brev fra myndigheden.
Hvad det kræver, og hvad det koster at lade være
Forberedelsen er overskuelig. Det kræver en oversigt over de rapporter og gennemgange, I har fået lavet de seneste år, med dato, kriterier og status på fundene. Og det kræver en fast vej for, hvordan en anmodning bliver læst, besvaret og godkendt, før svaret sendes.
Uden den oversigt bliver svaret skrevet under tidspres, og det er let at sende for lidt eller for meget. En rapport, der dukker op senere i forløbet, kan se ud, som om I har holdt noget tilbage, selv om det skyldtes rod.
Det skal I lade være med
- At antage, at en frivillig rapport er privat i forhold til tilsynet · lovteksten undtager den ikke.
- At beslutte at holde et dokument tilbage uden juridisk vurdering · reglerne om selvinkriminering er en sag for en advokat.
- At sende hele mappen, når anmodningen er præciseret · svar på det, der er spurgt om, og notér hvorfor.
Det skal auditten kunne vise
- ☐ En oversigt over gennemførte audits og gennemgange med dato, kriterier og omfang.
- ☐ Status på hvert fund med ejer, frist og lukkebevis.
- ☐ En procedure for, hvordan anmodninger fra myndigheden besvares og godkendes.
- ☐ Kopi af tidligere anmodninger og jeres svar, hvis der har været nogen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 21, 24 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 21, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit og tilsyn · Aflevering af bevis til auditor og tilsyn
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
