I en NIS2-audit går auditor så langt ned i systemerne, at en påstand i jeres dokumentation kan efterprøves. Det betyder enkelte opslag, udtræk og afprøvninger valgt som stikprøver. En egentlig teknisk gennemgang af alle opsætninger er en anden opgave, og den skal bestilles som sådan.
Grænsen bygger på praksis. Lovteksten beskriver ikke auditmetoden. Det er derfor jer som bestiller, der sammen med auditor bestemmer, hvor dybt der skal gås.
Hvad loven og vejledningen siger om tekniske test
Efter § 6, stk. 1, nr. 6, skal enheden have politikker og procedurer, der vurderer effektiviteten af dens foranstaltninger. Bemærkningerne, gengivet i Styrelsen for Samfundssikkerheds vejledning, nævner vurdering af behov for tekniske test, fx sårbarhedsscanninger eller penetrationstest.
Vejledningen kræver, at enheden løbende vurderer behovet for tekniske test og ud fra en risikovurdering fastlægger behov, frekvens, typer og hvad der testes. Den giver en lang liste af eksempler. Listen omfatter sårbarhedsscanning, penetrationstest, red team og blue team, gennemgang af konfigurationer og kode, gennemgang af patch management, test af social engineering og test af adgangskontrol og adgangskoder.
Det er enheden, der vælger blandt dem. En audit af nr. 6 efterprøver derfor først, om beslutningen om test findes og bliver fulgt. Myndighedens spørgeskema til kommunerne fra maj 2026 har netop spørgsmål om, hvorvidt behov og frekvens er fastlagt. Skemaet er stillet til kommuner, men det viser, hvad en myndighed ser efter. Det er uddybet i beslutningen om tekniske test.
Hvad en teknisk stikprøve er
NIST definerer en test som en afprøvning under fastlagte betingelser, hvor udfaldet holdes op mod det forventede. I en audit er det sjældent hele systemer, der testes. Det er udvalgte påstande.
Står der i adgangspolitikken, at administratorkonti kræver MFA, kan auditor bede om at se listen over administratorer og opsætningen for et udvalg af dem. Står der, at backup testes, kan auditor bede om at se loggen fra den seneste gendannelse og måske overvære en ny. Står der, at sårbarheder rettes inden for en fastsat frist, kan auditor sammenholde scanningsrapporter med datoerne for rettelserne.
Det er efterprøvning. Auditor kontrollerer, om det, I skriver, passer i de valgte tilfælde.
Dybde og dækning afgør grænsen
NIST beskriver to egenskaber ved enhver vurdering. Dybde er, hvor grundigt hver ting undersøges. Dækning er, hvor mange og hvilke ting der indgår. Begge kan være grundlæggende, fokuserede eller omfattende. Jo sikrere konklusionen skal være, jo længere op ad skalaen.
En NIS2-audit, der skal give ledelsesorganet et billede af alle ti foranstaltninger, kan ligge på et grundlæggende eller fokuseret niveau for hver. En teknisk gennemgang, der skal finde svagheder i opsætningen, ligger på det omfattende niveau for få områder. De to kan kombineres, men de har hver sit formål, og tilbuddet bør sige, hvilket niveau der er valgt for hvert område.
Hvordan de enkelte tekniske kontrolpunkter gennemgås, er beskrevet under tekniske kontrolpunkter ét for ét.
Når auditor finder noget teknisk
En stikprøve kan afsløre mere end en afvigelse fra dokumentationen. Den kan vise en sårbarhed eller tegn på, at noget er sket. Aftalen bør sige, hvordan auditor giver besked i de tilfælde. Underretningspligten efter §§ 12 og 13 ligger hos enheden og gælder væsentlige hændelser. Hvad I gør, hvis auditten støder på en hændelse, står i auditten finder en hændelse.
Tilsynet kan selv scanne
Det er værd at vide, at tilsynet har sit eget tekniske værktøj. Efter § 21, stk. 1, nr. 4, kan myndigheden foretage sikkerhedsscanninger hos væsentlige enheder, og efter § 24, stk. 1, nr. 3, hos vigtige enheder. En audit, der har efterprøvet jeres egen testpraksis, gør det lettere at forklare resultatet af en sådan scanning.
En praktisk måde at aftale dybden på er at skrive en linje pr. foranstaltning i opdraget om, hvad auditor læser, hvem auditor taler med, og hvad auditor efterprøver i systemerne. Så kan I planlægge, hvem der skal være til stede med administrativ adgang, og auditor kan bede om udtræk på forhånd. Rapporten bør gentage valget, så læseren kan se, hvor en konklusion hviler på teknisk efterprøvning.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen med administrativ adgang kan vise opsætninger og trække udtræk, mens auditor ser på, eller levere dem med dato. Det kræver også en skrevet beslutning om, hvilke test I selv udfører, og hvor ofte.
Uden tekniske stikprøver bygger auditten på dokumenter og interviews. Konklusionen om, at en foranstaltning virker, bliver så en gengivelse af jeres egen opfattelse. Det er svært at bruge over for ledelsesorganet og over for tilsynet.
Det skal I lade være med
- At forvente en fuld teknisk gennemgang i en NIS2-audit · den skal aftales som en selvstændig opgave.
- At vise opsætninger uden dato · auditor skal kunne se, hvornår de gjaldt.
- At lade testbeslutningen være uskreven · den er selv et krav i vejledningen.
Det skal auditten kunne vise
- ☐ En skrevet beslutning om behov, typer og frekvens for tekniske test.
- ☐ Resultater fra de test, I selv har udført, med dato.
- ☐ De påstande, auditor har efterprøvet teknisk, og hvordan de blev valgt.
- ☐ Valgt dybde og dækning for hvert område.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 12, 13, 21 og 24, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 6, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, 19. maj 2026, læst 12. november 2026.
- NIST, Special Publication 800-53A Revision 5, januar 2022, kap. 2 og bilag C, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres skrevne beslutning om tekniske test, og se, om den siger hvilke, hvor ofte og hvorfor.
Læs også: Stikprøver i en audit · Vurderer I selv, om foranstaltningerne virker?
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
