Styrelsen for Samfundssikkerhed sendte i maj 2026 et spørgeskema til alle kommuner som led i sit NIS 2-tilsyn. Skemaet er ikke rettet til private virksomheder, men det følger den vejledning, der gælder for alle, og derfor kan en privat virksomhed under styrelsens tilsyn bruge det som en prøve på, om den kan svare og vise beviset.
Det kræver to forbehold, som står først i artiklen. Skemaet er stilet til kommuner, og intet offentliggjort siger, at styrelsen vil bruge det over for private.
Hvem artiklen er skrevet til
Styrelsen for Samfundssikkerhed er kompetent myndighed for flere områder. Ifølge styrelsens side om NIS 2-tilsyn omfatter det blandt andet statslige myndigheder, kommuner, visse dele af fremstillingssektoren (branchekode 26 til 30), enheder inden for fremstilling, produktion og distribution af kemikalier og enkelte andre områder.
Er I en privat virksomhed i en af de grupper, er det altså samme myndighed, der har sendt skemaet til kommunerne, som fører tilsyn med jer. Er en anden myndighed kompetent for jeres sektor, gælder artiklen kun i den forstand, at vejledningen er fælles.
Hvad skemaet er
Dokumentet er dateret 19. maj 2026 og har overskriften “Proaktivt tilsyn. Spørgeskema Kommunerne 2026”. Det består af udsagn, som kommunen skal tage stilling til. Udsagnene er nummereret efter kapitlerne og underafsnittene i styrelsens vejledning om cybersikkerhedsforanstaltninger, 1. udgave juni 2025.
Nogle eksempler viser bredden. Udsagn 1.B.6 handler om risikoejere, der accepterer resultat, plan og restrisiko. 2.A.4 om kompetencer til at vurdere hændelser. 3.C.1 om vurderingen af redundans. 5.A.4 om en procedure ved afvikling og bortskaffelse af systemer. 6.B.2 om behov og frekvens for tekniske test. 7.B.2 om ledelsens kurser.
Styrelsens tilsynsside beskriver tilsynet med kommunerne som surveybaseret med en spørgeramme, der bygger på lovens forpligtelser til foranstaltninger. Et antal kommuner udpeges bagefter til et dybere tilsyn. For 2026 og 2027 nævner siden brede surveybaserede tilsyn med kommuner og statslige forvaltningsenheder, suppleret af dybdegående emnebaserede tilsyn med udvalgte enheder. Private virksomheder er ikke nævnt som mål for et bredt surveytilsyn. Det er derfor en tolkning, at skemaet viser, hvad styrelsen vil spørge en privat virksomhed om.
Hvad skemaet siger, og hvad det ikke siger
Skemaet viser, hvad styrelsen har spurgt kommunerne om, og at den har spurgt i vejledningens rækkefølge og med vejledningens ord. Det er det eneste, der kan læses direkte ud af det.
En tolkning, som ikke kan dokumenteres, er, at et kommende tilsyn med private under styrelsen vil tage udgangspunkt i samme vejledning og dermed ligne skemaet i opbygningen. Det er en rimelig antagelse, fordi vejledningen er fælles for alle omfattede. Den er stadig en antagelse. Styrelsens tilsynsplan for 2026 og 2027 nævner kommunerne og den centrale forvaltning og siger intet om, hvornår eller hvordan private under styrelsen får tilsyn. Planen er beskrevet i hvornår skal den første NIS2-audit ligge?.
Sådan bruges det som selvprøve
En selvprøve med skemaet er enkel. Tag hvert udsagn, og svar på to spørgsmål. Er det rigtigt hos os? Og hvilket dokument, referat eller udtræk kan vise det?
Det andet spørgsmål er det vigtige. Et ja uden bevis er en påstand, og hvad der kan bruges som bevis, står i hvad tæller som bevis. Øvelsen giver en liste over de steder, hvor praksis findes, men beviset mangler.
Læg også mærke til, om udsagnet bygger på et skal eller et bør i vejledningen. De tre niveauer i vejledningen gennemgås i artiklen om skal, bør og kan. Giver et udsagn kun mening for en kommune, så spring det over frem for at tilpasse det. Den tema-for-tema-gennemgang af skemaet set fra kommunen ligger hos audit i kommuner, regioner og stat.
Selvprøven er ikke en audit
Svarer I selv på skemaet, er det en selvevaluering. Den er nyttig som forberedelse, men den mangler den uafhængighed og den kontrol af beviset, som en audit giver. Hvordan en egen vurdering bruges før en audit, står i selvevaluering før auditten.
Skemaet kan dog bruges af auditor som en tjekliste til at strukturere interviews, når virksomheden ligger under styrelsen. Det skal i så fald stå i opdraget, at skemaet er brugt som inspiration, og at kriterierne stadig er lov og vejledning.
Hvad det kræver, og hvad det koster at lade være
Selvprøven kræver, at den sikkerhedsansvarlige og en fra ledelsen sætter tid af til at gå udsagnene igennem og finde beviset frem. For den virksomhed, der har ordnet sin dokumentation efter vejledningens kapitler, er arbejdet mindre.
Lader I skemaet ligge, går I glip af et konkret eksempel på styrelsens måde at spørge på. Bruger I det uden forbehold, risikerer I at forberede jer til et tilsyn med kommuner og overse det, der er særligt for jeres egen sektor.
Det skal I lade være med
- At skrive, at private får samme skema · det er der intet belæg for.
- At svare ja, hvor intet dokument støtter svaret · så er svaret en påstand.
- At bruge selvprøven som jeres audit · den mangler uafhængighed og kontrol af bevis.
Det skal auditten kunne vise
- ☐ Hvilken myndighed der er kompetent for virksomheden.
- ☐ For hvert relevant udsagn: svaret og det dokument, der viser det.
- ☐ Udsagn, der er sprunget over, fordi de kun passer på kommuner.
- ☐ Steder, hvor praksis findes, men beviset mangler.
Kilder
- Styrelsen for Samfundssikkerhed, “NIS 2-tilsyn”, https://www.samsik.dk/tilsyn/nis2-tilsyn/, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Proaktivt tilsyn. Spørgeskema Kommunerne 2026, 19. maj 2026, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2-tilsyn, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag ét kapitel af skemaet, og skriv for hvert udsagn navnet på det dokument, der viser svaret.
Læs også: NIS2-audit i fremstillingsvirksomheder · Kemikaliedistributør uden egen produktion
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
