Viser auditten store huller i NIS2-efterlevelsen, er de første beslutninger at skille mangler i lovkrav fra fravalgte anbefalinger, at sætte gang i rettelsen af lovkravene, at få ledelsesorganet til at godkende de korrigerende foranstaltninger og at lægge en plan for resten. Spørgsmålet om, hvem der skal have besked, afhænger af, om auditten har vist tegn på en hændelse.
Rækkefølgen er vigtig, fordi det er fristende at begynde med det, der er lettest at rette. Det er sjældent det, loven kræver først.
Beslutning 1: hvad er lovkrav, og hvad er anbefaling?
En rapport med mange fund kan virke uoverskuelig. Del den op. Når fundet rammer et minimumspunkt i § 6, stk. 1, eller et krav formuleret med “skal” i myndighedens vejledning, er det en mangel i lovkrav. En anbefaling med “bør”, der er valgt fra uden begrundelse, hører til en anden kategori. Her kan løsningen være en skrevet vurdering.
Denne sortering er det vigtigste, ledelsen gør i de første dage. Den afgør, hvad der skal handles på uden unødigt ophold, og hvad der kan prioriteres. Hvordan fund klassificeres, står i klassificering af fund.
Beslutning 2: hvad sættes i gang nu?
§ 6, stk. 2, kræver, at en enhed, der ikke opfylder kravene, uden unødigt ophold træffer de nødvendige korrigerende foranstaltninger. Loven sætter ingen frist i dage. Den forventer handling.
I praksis betyder det at sætte gang i de mangler, der kan rettes hurtigt, og at give de større en ejer og en første milepæl. Det kan være en midlertidig foranstaltning, der mindsker risikoen, mens den varige løsning bliver bygget. Står der fx et fund om manglende multifaktorautentificering på fjernadgang, kan adgangen begrænses, mens løsningen indføres.
Beslutning 3: godkendelse i ledelsesorganet
Efter § 7, stk. 1, skal foranstaltningerne efter § 6, stk. 1 og 2, godkendes af ledelsesorganet. Det gælder også de korrigerende. Ledelsesorganet bør derfor have rapporten forelagt hurtigt, med sorteringen fra beslutning 1 og et forslag til, hvad der sættes i gang.
Referatet af mødet er bevis for, at ledelsesorganet har taget stilling. Hvad det skal indeholde, står i sporet efter ledelsesorganets godkendelse.
Beslutning 4: planen for resten
De mangler, der ikke kan rettes med det samme, og de fravalgte anbefalinger samles i en handlingsplan med ejere, milepæle og ressourcer. Planen godkendes og følges på hvert ledelsesmøde. Se fra fund til handlingsplan. Er der fund, ledelsen overvejer at lade ligge, skal grænsen for risikoaccept kendes. Den er beskrevet i risikoaccept efter NIS2.
Skal nogen have besked?
Her skal man skelne skarpt. Et auditfund er ikke i sig selv en hændelse. NIS 2-lovens underretningspligter gælder væsentlige hændelser og væsentlige cybertrusler.
Efter § 12 skal en væsentlig hændelse underrettes til den kompetente myndighed og CSIRT’en, og § 13 sætter fristerne. Efter § 15 skal modtagerne af enhedens tjenester uden unødigt ophold have besked om væsentlige hændelser, der sandsynligvis påvirker leveringen negativt, og modtagere, som en væsentlig cybertrussel kan ramme, skal have at vide, hvad de selv kan gøre.
Viser auditten tegn på en hændelse, fx spor af uautoriseret adgang, skal den vurderes efter §§ 12 og 15. Det er en anden sag end fundene. Hvad I gør, står i auditten finder en hændelse.
Der er i loven ikke fundet nogen pligt til at fortælle myndigheden om et auditfund. Kundeaftaler kan have egne krav om at oplyse om forhold, der påvirker sikkerheden. Dem skal I selv gennemgå, for de er ikke undersøgt her.
Kommunikationen i huset
Store huller skaber uro. De medarbejdere, der har bygget foranstaltningerne, kan læse rapporten som kritik af deres arbejde. Ledelsen bør derfor forklare, hvad rapporten skal bruges til, og at fundene handler om styringen. Et kort møde med de berørte fagfolk, før handlingsplanen skrives, giver også bedre planer, fordi de ved, hvad der realistisk kan nås. Hold samtidig rapporten inden for den kreds, der har brug for den. Den beskriver jeres svagheder, og deling er behandlet i hvem må få auditrapporten.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at ledelsen afsætter tid hurtigt efter rapporten, at nogen laver sorteringen, og at ledelsesorganet mødes. De første beslutninger kan træffes på et enkelt møde, hvis forberedelsen er god.
Venter ledelsen, står manglerne i lovkrav uændret, og det er svært at forene med kravet om at handle uden unødigt ophold. Begynder ledelsen med det lette, bliver de tunge mangler liggende, mens alle har travlt.
Det skal I lade være med
- At rette det lette først · lovkravene skal frem i køen.
- At behandle et auditfund som en hændelse · underretningspligten gælder væsentlige hændelser og trusler.
- At holde rapporten væk fra ledelsesorganet · de korrigerende foranstaltninger skal godkendes der.
Det skal auditten kunne vise
- ☐ Fundene delt i mangler i lovkrav og fravalgte anbefalinger.
- ☐ Handlinger sat i gang for de mangler, der kan rettes hurtigt.
- ☐ Ledelsesorganets godkendelse af de korrigerende foranstaltninger.
- ☐ En handlingsplan for resten.
- ☐ En vurdering af, om auditten viste tegn på en hændelse.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 7, 12, 13 og 15, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, s. 9, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Indkald ledelsesorganet til et møde om rapporten, og send sorteringen af fundene med.
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Underretning af kunderne efter § 15
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
