Under hvert kapitel i Styrelsen for Samfundssikkerheds vejledning om cybersikkerhedsforanstaltninger står en liste med afsnit i ISO/IEC 27001, NIST CSF 2.0, IEC 62443 og nogle få andre standarder. Listerne er en krydsreference, der hjælper en virksomhed med at finde sit eksisterende arbejde i forhold til loven, og vejledningen advarer selv mod at læse dem som et bevis for opfyldelse.
I en audit kan henvisningerne derfor spare tid. De kan ikke erstatte kontrollen af det, loven kræver.
Hvad vejledningen skriver om standarderne
Vejledningen, 1. udgave juni 2025, har et afsnit om standarder. Hvert kapitel slutter med en liste over afsnit i relevante standarder, så en enhed, der allerede arbejder efter en standard, kan kortlægge sit arbejde i forhold til NIS 2-loven. Standardernes uddybninger er ikke taget med, fordi loven bygger på en minimumsimplementering af NIS 2-direktivet.
Vejledningen tilføjer en advarsel, der hører hjemme i enhver audit. En standard, I følger, hjælper jer på vej, men den er ingen garanti for, at lovens krav er opfyldt.
De standarder, der er med
Listen herunder følger samme felter for hver standard. Indholdet af standarderne er ikke gengivet. De er betalingsstandarder, og vurderingen af dem ligger uden for denne artikel.
- DS/EN ISO/IEC 27001 · Udgave i vejledningen: 2023 · Hvad den bruges til i vejledningen: Afsnit nævnt under de fleste kapitler · Hvad den ikke dækker: Ikke oplyst her
- NIST Cybersecurity Framework · Udgave i vejledningen: 2.0 · Hvad den bruges til i vejledningen: Kategorier nævnt under flere kapitler · Hvad den ikke dækker: Ikke oplyst her
- DS/IEC 62443-2-1 · Udgave i vejledningen: 2011 · Hvad den bruges til i vejledningen: Afsnit nævnt for bl.a. risikostyring · Hvad den ikke dækker: Ikke oplyst her
- DS/EN IEC 62443-3-3 · Udgave i vejledningen: 2019 · Hvad den bruges til i vejledningen: Med på listen over standarder · Hvad den ikke dækker: Ikke oplyst her
- EECC Guideline on security measures · Udgave i vejledningen: 4. udgave 2021 · Hvad den bruges til i vejledningen: Med på listen over standarder · Hvad den ikke dækker: Ikke oplyst her
- ETSI EN 319 401 · Udgave i vejledningen: V2.3.1, maj 2021 · Hvad den bruges til i vejledningen: Med på listen over standarder · Hvad den ikke dækker: Ikke oplyst her
Kapitlerne bruger nogle steder ældre årstal for IEC 62443-delene, fx 62443-3-3:2013. Numrene er gengivet, som vejledningen skriver dem.
Tre eksempler på henvisningerne
Under risikostyring (afsnit 1.b) henviser vejledningen til ISO/IEC 27001:2023 punkt 6.1, 6.1.2, 6.1.3, 6.2, 8.2 og 8.3 samt A.5.7 og A.5.19 til A.5.21, til NIST CSF 2.0 ID.RA-01 til -06 og flere GV-kategorier og til DS/IEC 62443-2-1:2011 punkt 4.2.3.
Under hændelseshåndtering (2.a) er det ISO/IEC 27001:2023 A.5.24 og NIST CSF 2.0 RS.MA-01, RS.MA-05, RS.MI-01, RS.MI-02 og GV.SC-08.
Under driftskontinuitet (3.a) er det ISO/IEC 27001:2023 A.5.29 og A.5.30, NIST CSF 2.0 RC.RP-01 og RC.RP-02 med flere og IEC 62443-3-3:2013 SR 7.1, 7.2 og 7.4.
En virksomhed med et ledelsessystem efter ISO/IEC 27001 kan altså slå op i sin egen anvendelseserklæring og se, hvilke kontroller der er valgt for de nævnte punkter. En virksomhed, der bruger NIST CSF 2.0 til at måle sig selv, kan gøre det samme med sine profiler.
Sådan bruger auditten henvisningerne
Henvisningerne gør det lettere at finde bevis. Har I dokumentation ordnet efter en standard, kan auditor bruge den, hvis den dækker det, vejledningen kræver. Det er hurtigere end at bede om alt på ny. En bevismappe, der er ordnet efter lovens ti foranstaltninger, kan få en kolonne med standardafsnittene.
To ting skal dog kontrolleres hver gang. Den første er, om det, I har gjort efter standarden, svarer til vejledningens skal og bør for netop det punkt. Standarden kan være bredere eller smallere, og afsnitsnummeret siger ikke noget om det. Den anden er, om der er krav i loven, som standarden ikke har et afsnit for. Underretningsfristerne i § 13 og ledelsesorganets kurser i § 7, stk. 2 er eksempler på krav, som skal kontrolleres særskilt.
ENISA’s tekniske vejledning knytter også sine krav til standarder, bl.a. ISO/IEC 27001 i 2022-udgaven. Det er praktisk for den, der har den udgave. Om den danske 2023-udgave er indholdsmæssigt ens, er ikke efterprøvet her. Et ISO-certifikats rolle i auditten er behandlet i ISO 27001-certifikatet i NIS2-auditten.
Driver I produktionsanlæg, er IEC 62443-henvisningerne de vigtigste, og de er brugt i OT og produktionsanlæg i NIS2-auditten. Hvordan en virksomhed bruger en ramme som målestok for modenhed over flere år, og hvordan opsætningen kontrolleres teknisk, er emner for sig.
Hvad det kræver, og hvad det koster at lade være
At bruge henvisningerne kræver adgang til de standarder, I arbejder efter, og en person, der kender jeres egen kortlægning. Arbejdet består i at lægge vejledningens afsnit og jeres dokumentation side om side. Det går hurtigt, hvis kortlægningen findes i forvejen.
Uden krydsreferencen bliver bevismappen bygget to gange, én gang til standarden og én gang til NIS2. Bruges henvisningerne som facit, risikerer ledelsen at tro, at et velfungerende ledelsessystem dækker loven, også hvor loven kræver noget, standarden ikke beskriver.
Det skal I lade være med
- At læse et afsnitsnummer som et opfyldt krav · vejledningen siger det modsatte.
- At springe lovkrav uden standardafsnit over · fx frister og ledelsens kurser.
- At antage, at to udgaver af en standard er ens · kontrollér, hvilken udgave I bruger.
Det skal auditten kunne vise
- ☐ Hvilken standard og hvilken udgave enheden arbejder efter.
- ☐ For hvert kapitel i vejledningen: jeres dokumentation knyttet til de nævnte afsnit.
- ☐ Punkter, hvor standardarbejdet ikke dækker vejledningens skal eller bør.
- ☐ Lovkrav, der er kontrolleret uden for standarden.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag standardlisten fra ét kapitel i vejledningen, og find de tilsvarende punkter i jeres egen dokumentation.
Læs også: Skal, bør og kan · ENISA’s tekniske vejledning som bevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
