En audit kan ikke måle mod ordene “passende og forholdsmæssige” alene. Den kan måle mod de tre niveauer i Styrelsen for Samfundssikkerheds vejledning: skal er krav, bør er anbefalinger, I kan fravælge med en dokumenteret begrundelse, og kan er eksempler.
Den måde at bruge niveauerne på er en tolkning af vejledningen. Den er alligevel den mest direkte vej fra en bred lovtekst til kriterier, som både auditor og ledelse kan forstå.
Lovens ord og vejledningens tre niveauer
§ 6, stk. 1 i NIS 2-loven kræver, at væsentlige og vigtige enheder træffer “passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger”. Ordene giver plads til, at en lille fødevareproducent og en stor transportvirksomhed gør forskellige ting. De giver til gengæld ikke en auditor noget at sætte flueben ved.
Styrelsens vejledning fra juni 2025 tager lovens ti punkter et for et og opdeler hvert af dem. Skal betyder krav, og enheden skal kunne forelægge dokumentation for det. Bør betyder anbefaling. Følger enheden den ikke, skal den over for tilsynet kunne forklare hvorfor. Kan betyder forslag eller eksempel.
Vejledningen formulerer forventningen sådan, at myndighederne vil forvente, at anbefalingerne er fulgt, eller at enheden ud fra en vurdering af sin risiko har taget dokumenteret stilling til, at risikohåndteringen er tilstrækkelig.
Tre hensyn ved et fravalg
Et fravalgt bør skal kunne forklares ud fra tre hensyn, som vejledningen nævner: det aktuelle teknologiske stade, gennemførelsesomkostningerne og enhedens risici, herunder de samfundsmæssige og økonomiske indvirkninger.
Det sidste hensyn er værd at standse ved. Vejledningen understreger, at risikovurderingen efter loven ser på skader for samfundet og modtagerne af jeres tjenester. Den afviger dermed fra en vurdering, der tager udgangspunkt i virksomhedens egen økonomi og omdømme. Et fravalg begrundet med, at det er dyrt for virksomheden, holder dårligt, hvis de afledte skader for andre ikke er vurderet. Hvordan den del gennemgås, står i audit af risikovurderingen.
Sådan ser det ud i en rapport
Når niveauerne bruges som kriterier, får hvert punkt sin egen bedømmelse. Tre eksempler fra vejledningen viser forskellen.
Under risikostyring står det som skal, at resultatet af risikovurderingen, den planlagte håndtering og restrisikoen accepteres af risikoejeren med passende rapportering til ledelsesorganet. Mangler accepten, er det et fund mod et krav.
Under sårbarhedshåndtering står det som bør, at enheden udfører sårbarhedsscanninger med regelmæssige, planlagte mellemrum. Scanner I ikke, er spørgsmålet, om fravalget er begrundet og dokumenteret. Er det, er der intet fund. Er det ikke, er fundet den manglende begrundelse.
Under aktiver står det som kan, at enheden udvikler og vedligeholder en fortegnelse over aktiverne. Har I ingen, kan auditor bemærke det som en observation. Et kan er ikke et kriterium for et fund.
Klassifikationen af fundene, fra opfyldt til ikke opfyldt, er beskrevet i klassificering af fund. Vælger ledelsen bevidst ikke at rette et fund, er det en anden sag, som hører under risikoaccept og § 6, stk. 2.
Faldgruber i den daglige læsning
Den første er at læse vejledningen som en tjekliste, hvor alt skal være gennemført. Det giver en rapport fuld af fund mod eksempler, som ingen har krævet. Den modsatte faldgrube er at behandle bør som frivilligt. Et bør uden begrundet fravalg er et hul i dokumentationen.
Den tredje er at glemme, at et skal ofte indeholder sin egen afgrænsning. Kryptografi skal benyttes, hvor det er påkrævet efter aktivernes klassifikation og risikovurderingen. Multifaktorautentificering skal bruges, hvor det vurderes relevant. Auditoren kontrollerer derfor både foranstaltningen og den vurdering, der afgør, hvor den gælder.
Den fjerde er at skrive skal, hvor vejledningen skriver bør. Det sker let i interne politikker og i tilbud. Hold ordene adskilt i kriterierne, så rapporten kan læses op mod kilden. Et eget sæt auditkriterier bør henvise til vejledningens afsnit.
Hvad det kræver, og hvad det koster at lade være
At bygge kriterierne kræver en gennemgang af vejledningens ti kapitler, hvor hvert punkt markeres som skal, bør eller kan og knyttes til jeres egne dokumenter. For de fravalgte bør skal der skrives en kort begrundelse, som ledelsen har set. Findes politikker og procedurer allerede, er det mest et redigeringsarbejde.
Uden opdelingen bliver auditten enten for streng eller for løs. Den strenge rapport drukner ledelsen i fund mod eksempler. Den løse lader de fravalgte anbefalinger stå uden begrundelse, og det er netop dem, tilsynet efter vejledningen vil spørge til.
Det skal I lade være med
- At behandle et bør som frivilligt · fravalget skal kunne forklares tilsynet.
- At gøre eksempler til krav · et kan er et forslag.
- At begrunde fravalg med egen økonomi alene · samfundsmæssige skader indgår i vurderingen.
Det skal auditten kunne vise
- ☐ Hvert kriterium markeret som skal, bør eller kan med henvisning til vejledningens afsnit.
- ☐ Dokumentation for hvert skal.
- ☐ For hvert fravalgt bør en skriftlig begrundelse ud fra stade, omkostninger og risiko.
- ☐ At ledelsen har set begrundelserne.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag ét kapitel i vejledningen, og markér hvert punkt med skal, bør eller kan ud for jeres eget dokument.
Læs også: Forordning 2024/2690 som målestok · Kan ledelsen vælge ikke at rette et fund?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
