Ledelsesorganet fører tilsyn med jeres cybersikkerhed ud fra det, det får forelagt. Er tallene i rapporteringen forkerte eller uklare, fører bestyrelsen eller direktionen tilsyn med et billede, der ikke findes.
En audit kan tage nøgletallene fra rapporteringen og følge dem tilbage til systemer, sager og registre. Det er en metode, auditor vælger. Ingen kilde kræver bestemte nøgletal eller siger, at de skal kunne spores. Men tilsynspligten giver kun mening, hvis tallene holder.
Pligten, rapporteringen tjener
§ 7, stk. 1, i NIS 2-loven lægger to opgaver hos ledelsesorganet. Det godkender foranstaltningerne, og det fører tilsyn med, at de gennemføres. Hvem ledelsesorganet er, står i lovens definitioner (§ 3, nr. 20). Har selskabet bestyrelse og direktion, er det bestyrelsen, og har det alene en direktion, er det direktionen.
Vejledningen om foranstaltningerne fra juni 2025 kobler rapporteringen til risikostyringen. Det, risikoejeren skal godkende, er vurderingens resultat, den planlagte håndtering og størrelsen af de risici, der bliver tilbage. Accepten sker med passende rapportering til ledelsesorganet. En risikoejer er den person, der har ansvaret for en bestemt risiko.
Vejledningen om ledelsens rolle (maj 2025) giver et eksempel. En direktion modtager halvårligt en rapportering med opfølgning på mål og handleplaner og status på målepunkter og indikatorer, bl.a. antallet af væsentlige hændelser og måltal for håndteringen af kritiske sårbarheder. Halvårligt er et eksempel. Det er ikke et krav.
I sit skema til kommunerne fra maj 2026 spurgte styrelsen netop til ledelsesorganets rapportering om risikoejernes accept. Skemaet er stilet til kommuner og siger intet om, hvad private virksomheder vil blive spurgt om. Det viser blot, at emnet optager en myndighed.
For digitale enheder stiller forordning 2024/2690 i punkt 2.2 krav om regelmæssig rapportering til ledelsesorganerne. ENISA’s vejledning anbefaler mindst én gang om året. For andre enheder er det en målestok, I kan vælge, og ikke et krav. Se forordningen som målestok.
Hvorfor sporbarhed er audittens metode
Når en auditor efterprøver ledelsens tilsyn, er rapporteringen et af de vigtigste beviser. Den viser, hvad ledelsesorganet vidste, og hvornår. Men et tal i en rapport beviser kun noget, hvis det kan genskabes.
Sporingen er derfor auditorens metode til at bedømme, om rapporteringen er et brugbart grundlag for tilsynet. Tankegangen er den samme som i metoden, hvor én sag følges hele vejen.
Sådan følger auditor et tal tilbage
Fremgangsmåden er praksis. Den kan se sådan ud.
Auditor vælger to eller tre nøgletal fra den seneste rapport. Typiske kandidater er antallet af væsentlige hændelser, andelen af kritiske sårbarheder, der er lukket inden for jeres egen frist, og status på handleplanen.
For hvert tal spørger auditor, hvor det kommer fra. Antallet af hændelser forventes at kunne findes i hændelsesregistret med samme afgrænsning og samme periode. Tallet for sårbarheder forventes at kunne findes i det værktøj eller det register, hvor de følges. Status på handleplanen forventes at kunne findes i planen selv med ejere og datoer.
Så sammenlignes. Passer tallet? Er perioden den samme? Er definitionen den samme som sidst, eller er der skiftet opgørelsesmetode uden at skrive det?
Til sidst ses på det, der ikke står. Mangler der hændelser i rapporten, som står i registret? Er en risiko, som en risikoejer har accepteret, blevet rapporteret til ledelsesorganet, eller er accepten blevet i afdelingen?
Tegn på, at tallene ikke holder
Nogle mønstre går igen, når rapportering efterprøves. Tallet er tastet ind i et regneark af en person, og ingen anden kan genskabe det. Definitionen af en væsentlig hændelse i rapporten afviger fra den, der bruges i jeres egne tærskler. Handleplanen viser grønt, fordi en frist er flyttet, uden at ledelsesorganet har fået det at vide.
Ingen af delene er brud på loven i sig selv. De svækker beviset for, at ledelsesorganet har kunnet føre det tilsyn, § 7 kræver.
Hvad rapporten kan bruges til
Når tallene holder, kan rapporteringen og referaterne fra ledelsesorganets møder bruges som dokumentation for tilsynet. Hvordan godkendelser efterlader spor i referater og bilag, er emnet i artiklen om ledelsesorganets godkendelse. Hvor beviset slutter, står i rapporten som dokumentation for tilsyn.
Hvad det kræver, og hvad det koster at lade være
Sporbare tal kræver en kort beskrivelse af hvert nøgletal: kilde, afgrænsning, periode og hvem der opgør det. Det kan stå som en fodnote i rapporten. Arbejdet ligger mest første gang. Derefter er det en vane.
Uden beskrivelsen ændrer tallene betydning, når personer skifter. Ledelsesorganet sammenligner så kvartaler, der ikke kan sammenlignes, og beslutter på et skævt grundlag.
Det skal I lade være med
- At lade én person være eneste kilde til et tal · ingen kan efterprøve det, hvis personen er væk.
- At skifte opgørelsesmetode uden at skrive det · udviklingen over tid bliver meningsløs.
- At rapportere grønt på flyttede frister · ledelsesorganet mister overblikket over forsinkelser.
Det skal auditten kunne vise
- ☐ Den seneste ledelsesrapportering med dato og modtager.
- ☐ En beskrivelse af hvert nøgletal: kilde, afgrænsning og periode.
- ☐ Registre eller udtræk, som tallene kan genskabes fra.
- ☐ Risikoejernes accept af restrisici og sporet af, at ledelsesorganet fik den forelagt.
- ☐ Referater, der viser, hvad ledelsesorganet gjorde med rapporteringen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 3, nr. 20, og § 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Ledelsens rolle og opgaver, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Spørgeskema kommunerne 2026, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag det første tal i den seneste rapport til ledelsen, og prøv selv at finde det igen i kildesystemet.
Læs også: Sådan læser bestyrelsen en NIS2-auditrapport · Risikoaccept og pligten i § 6, stk. 2
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
