Ledelsesorganets godkendelse af cybersikkerhedsforanstaltningerne skal kunne vises, og det mest overbevisende spor er et referat. Et godt referat angiver dato, dagsordenspunkt, hvilket dokument der blev godkendt i hvilken version, og hvem der deltog. Ligger opgaven i et udvalg, skal sporet også vise, at det samlede ledelsesorgan har fulgt med.
Ingen regel kræver netop de elementer. De er det, en auditor typisk beder om, fordi de gør det muligt at se, at godkendelsen fandt sted og gjaldt det rigtige dokument.
Hvad der skal godkendes
NIS 2-loven siger i § 7, stk. 1, at foranstaltningerne efter § 6, stk. 1 og 2, skal være godkendt af enhedens ledelsesorgan, og at ledelsesorganet fører tilsyn med deres gennemførelse. Det omfatter både de ti minimumsforanstaltninger og de korrigerende foranstaltninger, der skal træffes, når en mangel er konstateret.
Ledelsesorganet er bestyrelsen i et selskab med både bestyrelse og direktion. Har selskabet kun en direktion, er det direktionen. Det følger af lovens definition, som Styrelsen for Samfundssikkerheds vejledning om ledelsens rolle gengiver.
Vejledningen om cybersikkerhedsforanstaltninger er mere konkret på to punkter. Politikken for informationssystemsikkerhed skal være godkendt af ledelsesorganet. Politikken for risikostyring skal være godkendt af enhedens relevante ledelse. Emnespecifikke politikker bør gennemgås af relevant ledelse, og resultatet rapporteres til ledelsesorganet.
Sporet, en auditor typisk beder om
Et referat fra det møde, hvor godkendelsen skete, er det centrale bevis. Det bør indeholde fem ting.
Datoen for mødet. Uden dato kan auditor ikke se, om godkendelsen gælder den periode, der vurderes.
Dagsordenspunktet. Et selvstændigt punkt viser, at sagen blev behandlet. En linje under “eventuelt” viser det svagere.
Dokumentet og versionen. Referatet bør henvise til det præcise dokument, gerne med versionsnummer eller dato, og dokumentet bør ligge som bilag. Ellers kan ingen bagefter sige, hvilken udgave der blev godkendt.
Deltagerne. Det skal fremgå, at ledelsesorganet var beslutningsdygtigt, og hvem der deltog.
Beslutningen. Godkendt, godkendt med ændringer eller udsat. Er der ændringer, bør den rettede udgave følge.
Hvordan referater og bilag samles til auditor, står i aflevering af bevis.
Når opgaven ligger i et udvalg
Ledelsesorganet kan efter vejledningen om ledelsens rolle uddelegere sine opgaver til fx et sikkerhedsudvalg eller et revisionsudvalg. Det samlede ledelsesorgan har dog fortsat ansvaret kollektivt. Vejledningen siger, at ledelsesorganet derfor bør overvåge og påse, at udvalget udfører opgaverne.
For sporet betyder det to lag. Udvalgets referat viser behandlingen. Ledelsesorganets eget referat bør vise, at det har modtaget udvalgets indstilling eller rapport og har taget stilling til den. Mangler det andet lag, kan auditor se, at arbejdet er gjort, men ikke, at ledelsesorganet har ført tilsyn.
Godkendelsen og det løbende tilsyn
Loven skelner mellem godkendelse og tilsyn. Godkendelsen er en beslutning på et bestemt tidspunkt. Tilsynet er løbende. Vejledningen om ledelsens rolle siger, at tilsynet kan ske på forskellige måder, fx ved periodiske ledelsesrapporter, ved intern revision, der rapporterer til ledelsen, eller ved en ekstern gennemgang af NIS 2-kravene. Vejledningen kalder det sidste ekstern revision.
Sporet for tilsynet er derfor en række referater over tid, der viser, at ledelsesorganet har fået rapportering og har reageret på den. Hvordan en auditrapport kan indgå i det spor, står i rapporten som dokumentation for tilsyn. Ledelsens egen rolle i auditten er beskrevet i ledelsens rolle i auditten.
Kurser hører også til sporet
Efter § 7, stk. 2, skal ledelsesorganets medlemmer på relevante kurser. Ifølge vejledningen om ledelsens rolle skal deltagelsen kunne dokumenteres, og den nævner et kursusbevis eller en skriftlig bekræftelse af, at man har været med, som eksempler. Det hører naturligt med i samme mappe. Kravet er uddybet i ledelsesorganets kurser som auditpunkt.
Gennemgå sporet, før auditten begynder. Find referaterne for de seneste godkendelser, læg de godkendte versioner ved, og notér, hvor et led mangler. Et manglende referat kan ikke skrives bagefter med en ældre dato. Få i stedet sagen behandlet igen, og lad det nye referat stå med den nye dato.
Hvad det kræver, og hvad det koster at lade være
Det kræver en fast praksis for, hvordan sikkerhedspunkter skrives ind i dagsorden og referat, og at de godkendte dokumenter gemmes i den version, der blev godkendt. Det er et lille ekstra arbejde for den, der fører referatet.
Mangler sporet, kan godkendelsen ikke vises, selv om den har fundet sted. I en audit står det som et fund om § 7. Over for tilsynet kan det være svært at dokumentere, at ledelsesorganet har taget ansvaret på sig.
Det skal I lade være med
- At godkende uden at nævne dokumentets version · ingen kan senere se, hvad der blev godkendt.
- At lade udvalgets referat stå alene · det samlede ledelsesorgan skal vise, at det har fulgt med.
- At skrive godkendelsen under “eventuelt” · det får behandlingen til at se tilfældig ud.
Det skal auditten kunne vise
- ☐ Et referat med dato, dagsordenspunkt og deltagere for hver godkendelse.
- ☐ Det godkendte dokument som bilag i den godkendte version.
- ☐ Ved udvalg: ledelsesorganets egen behandling af udvalgets indstilling.
- ☐ Referater over tid, der viser tilsynet med gennemførelsen.
- ☐ Dokumentation for ledelsesorganets kurser.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Ledelsens rolle og opgaver, 1. udgave maj 2025, kap. 1, 2, 4 og 5, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 1.a og 1.b, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find referatet fra den seneste godkendelse, og se, om det nævner dokumentets version.
Læs også: Audit af sikkerhedspolitikkerne · Foranstaltninger uden ejer
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
