En udbyder eller anden enhed omfattet af forordning 2024/2690 skal have sin tilgang til sikkerheden gennemgået uafhængigt af personer med passende auditkompetence. Gennemgangen må laves af egne medarbejdere, hvis de hverken er over- eller underordnet dem, der arbejder på det område, de gennemgår.
Punktet er det tætteste, forordningen kommer på et krav om audit. Det siger ikke, at gennemgangen skal købes ude i byen. Det siger noget om uafhængighed, kompetence, hyppighed og om, hvad ledelsen skal have bagefter. Her er de fire led.
Hvad gennemgangen omfatter
Punkt 2.3.1 siger, at enhederne gennemgår uafhængigt deres tilgang til styring af sikkerheden i net- og informationssystemer og gennemførelsen heraf, herunder mennesker, processer og teknologier.
Omfanget er altså bredt. En gennemgang, der kun ser på firewallen eller kun læser politikkerne, dækker ikke ordlyden. Hvordan omfanget afgrænses i praksis, står i afgrænsning af NIS2-auditten.
Hvem må udføre den
Punkt 2.3.2 kræver processer til uafhængige gennemgange, som skal udføres af personer med passende auditkompetence. Foretages gennemgangen af egne medarbejdere, må de ikke være underordnet eller overordnet personalet på det område, der gennemgås.
Ordlyden kræver ikke en ekstern part. Den tillader intern gennemgang med den adskillelse, punktet beskriver. Det er en læsning af ordlyden, og forordningen siger ikke selv “intern” eller “ekstern”.
Et tænkt eksempel er en udbyder med en driftsafdeling og en udviklingsafdeling under hver sin chef. En medarbejder fra udviklingen med erfaring i audit kan gennemgå driften, men ikke omvendt, hvis udviklingschefen også har ansvaret for driftsplatformen.
Når enheden er for lille
Tillader enhedens størrelse ikke den adskillelse, træffer enheden efter punkt 2.3.2 alternative foranstaltninger for at sikre, at gennemgangen er upartisk.
ENISA’s vejledning fra sommeren 2025 binder ingen, men den nævner som eksempler på alternative foranstaltninger rotation af dem, der gennemgår, et udvalg med medlemmer fra forskellige afdelinger og en ekstern tredjepart. Hvilken løsning der passer, afhænger af virksomheden. Valget og begrundelsen bør stå skriftligt, fordi tilsynet ellers ikke kan se, hvordan upartiskheden er sikret.
Hvad auditkompetence betyder
Forordningen definerer ikke “passende auditkompetence”. ENISA anbefaler kompetencer inden for teknisk cybersikkerhed, branchekendskab, risikovurdering, kendskab til reglerne og god forståelse af auditpraksis.
Som eksempel på bevis for kompetencen nævner ENISA bl.a. personlige certificeringer inden for audit og informationssikkerhed. Det er ENISA’s eksempel og ikke et krav i forordningen. Erfaring, uddannelse og tidligere gennemgange kan også dokumentere kompetencen.
ENISA nævner desuden som eksempler på bevis en dokumenteret proces, erklæringer om interessekonflikter, kontrakter med eksterne og planer for gennemgangene. Uanset hvem der udfører gennemgangen, kan auditor bede om de dokumenter.
Hvad ledelsen skal have
Punkt 2.3.3 siger, at resultaterne rapporteres til ledelsesorganerne. Det gælder også resultaterne af overvågningen efter punkt 2.2 og målingen efter punkt 7. Derefter træffes korrigerende foranstaltninger, eller den resterende risiko accepteres.
Den sidste sætning er vigtig. Gennemgangen er ikke afsluttet med rapporten. Hvert fund skal ende med en beslutning, enten en rettelse eller en accept af risikoen. Hvordan en accept skrives, står i risikoaccept og pligten i § 6, stk. 2.
ENISA anbefaler, at rapporten har et resumé med omfang og hovedfund, en metodebeskrivelse, detaljerede fund, anbefalinger og en konklusion. ENISA anbefaler også, at gennemgangen sker mindst én gang om året.
Hvor ofte
Efter punkt 2.3.4 bestemmer enheden selv rytmen, og den skal gentage gennemgangen, når en væsentlig hændelse eller ændring indtræffer. Et antal måneder står der ikke. ENISA’s råd om én gang årligt er netop et råd. En ny gennemgang efter et skift af driftsplatform er derimod en del af selve kravet.
Sådan prøver en auditor punktet
Når en anden end den, der lavede gennemgangen, senere skal vurdere den, ser vedkommende på fire ting. Er processen beskrevet? Er uafhængigheden dokumenteret med organisationsdiagram eller erklæringer? Er kompetencen beskrevet? Og er der et spor fra rapport til beslutning i ledelsesorganet?
Den sidste kontrol er den, der oftest mangler. En rapport, som ledelsen har fået, men aldrig har truffet beslutning om, opfylder ikke 2.3.3.
Hvad det kræver, og hvad det koster at lade være
Det kræver en beskrevet proces, et valg af hvem der gennemgår hvad, og en plan for hyppigheden. I en mindre enhed kræver det også en beslutning om den alternative foranstaltning. Ledelsen skal afsætte tid til at behandle resultaterne.
Uden en uafhængig gennemgang har enheden ingen kontrol af, om resten af bilaget faktisk er gennemført. Kravet er bindende for digitale enheder, og et tilsyn kan hurtigt konstatere, om gennemgangen er lavet.
Det skal I lade være med
- At lade driftschefen gennemgå sin egen drift · punkt 2.3.2 kræver adskillelse fra området.
- At tro, at forordningen kræver en ekstern auditor · intern gennemgang er mulig med adskillelsen.
- At lukke gennemgangen med rapporten · hvert fund skal rettes eller have accepteret sin restrisiko.
Det skal auditten kunne vise
- ☐ En beskrevet proces for den uafhængige gennemgang.
- ☐ Dokumentation for, at de, der gennemgår, er uafhængige af området.
- ☐ En beskrivelse af deres auditkompetence.
- ☐ Ved små enheder en begrundet alternativ foranstaltning.
- ☐ Rapporter til ledelsesorganerne og beslutning om hvert fund.
- ☐ En plan for de planlagte mellemrum og gennemgange efter væsentlige ændringer.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, bilaget punkt 2.3, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- ENISA, Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690, version 1.0, juni 2025, pkt. 2.3.1 til 2.3.3, https://www.enisa.europa.eu/sites/default/files/2025-06/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tegn jeres organisation op, og markér for hvert område, hvem der kan gennemgå det uden at være over- eller underordnet dem, der arbejder der.
Læs også: Overvågning af overholdelse efter punkt 2.2 · Fra fund til handlingsplan
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
