NIS 2-loven stiller ingen krav til den auditor, en virksomhed selv vælger, og der findes ingen offentlig godkendelse af NIS2-auditorer. Valget hviler derfor på jeres egne kriterier, og de bør vælges, så bestyrelsen og en eventuel tilsynsmyndighed kan se, at vurderingen er upartisk og bygger på lovens krav.
Det er værd at holde to situationer adskilt. Den ene er den audit, I selv bestiller for at vide, hvor I står. Den anden er en audit, som myndigheden kræver. Kun i den anden nævner loven, hvem der udfører arbejdet.
Når I selv vælger
Bestiller ledelsen en NIS2-audit på eget initiativ, er auditor et frit valg. Loven siger intet om, hvordan en sådan audit gennemføres, eller hvem der gør det. Ordet sikkerhedsaudit står kun i tilsynsreglerne.
Det betyder også, at en auditrapport aldrig er en godkendelse. Om loven er overholdt, afgør den myndighed, der har ansvaret for sektoren. Rapporten er ledelsens eget grundlag for at handle, og den kan indgå i det tilsyn, ledelsesorganet fører efter § 7. Hvad der adskiller audit og tilsyn, står i audit og tilsyn.
Når tilsynet kræver det
Myndigheden kan pålægge en væsentlig enhed at lade “et kvalificeret uafhængigt organ” gennemføre sikkerhedsaudits og give myndigheden resultaterne (§ 21, stk. 1, nr. 2). En vigtig enhed kan møde samme krav, hvis der er tegn på, at den ikke lever op til loven (§ 24, stk. 1, nr. 2).
Loven forklarer ikke udtrykket, og vi har heller ikke fundet en forklaring i bemærkningerne eller en ordning, der godkender sådanne organer. Hvem der er kvalificeret, kan vi derfor ikke sige. Står I i den situation, er det naturligt at spørge myndigheden, hvad den lægger vægt på. Situationen er beskrevet i pålagt sikkerhedsaudit.
Uafhængighed, målt mod det, der undersøges
Forordning 2024/2690 omfatter kun en række digitale tjenesteydere, bl.a. dem, der leverer cloud og datacentre. Her kræves uafhængige gennemgange ved personer med passende auditkompetence. Laver enheden gennemgangen med egne folk, må gennemgangspersonerne hverken stå over eller under dem, der arbejder på det gennemgåede område (bilag punkt 2.3.2).
For andre virksomheder er punktet en målestok. Den giver et brugbart spørgsmål til enhver auditor: står personen i et forhold til det, der undersøges, som kan farve vurderingen? Det gælder især, hvis auditor eller auditors firma har bygget jeres NIS2-arbejde. Den situation behandles i må rådgiveren auditere sit eget arbejde.
Erfaring med lovens krav
En NIS2-audit måler mod § 6 og myndighedens vejledning. Spørg derfor, hvordan auditor bruger vejledningens skelnen mellem det, der skal, bør og kan gennemføres. En auditor, der kun måler mod en standard, giver et andet svar. Vejledningen understreger selv, at en fulgt standard hjælper på vej, uden at den garanterer, at kravene er mødt. Forskellen er beskrevet i skal, bør og kan.
Spørg også, hvordan auditor vurderer ledelsesorganets godkendelse og tilsyn efter § 7. Kravet står i loven selv, og det er ledelsen, der skal kunne vise, at det er opfyldt.
Sektorkendskab
Loven kræver ikke en bestemt erfaring med jeres sektor. Myndighedens vejledning kan dog suppleres af sektorvejledninger fra de sektoransvarlige myndigheder. Et rimeligt kriterium er derfor, at auditor kender og bruger den vejledning, der gælder for jeres sektor, og ved, hvilken myndighed der fører tilsyn med jer.
Hvad certificeringerne siger
EU’s cybersikkerhedsagentur ENISA har udgivet teknisk vejledning om forordningen, og heri nævnes bl.a. CISA, CISSP og CISM som eksempler på bevis for kompetence hos dem, der udfører den uafhængige gennemgang. Det er ENISA’s eksempler til de digitale enheder.
Certificeringerne gælder personer. De er ikke en godkendelse af auditors firma, af jeres NIS2-arbejde eller af rapporten. Bed om at vide, hvem der udfører arbejdet, og hvem der har hvilken baggrund. Det almene valg af auditor, med fem spørgsmål, der også gælder her, står i valg af auditor til en sikkerhedsaudit. Skal auditor vurdere tekniske kontrolpunkter i dybden, kan det være en opgave for en teknisk gennemgang.
Hvad det kræver, og hvad det koster at lade være
Et godt valg kræver, at ledelsen på forhånd bestemmer, hvad auditten skal bruges til, og hvem der modtager den. Er modtageren bestyrelsen, bør bestyrelsen være med til at vælge auditor. Det giver en vurdering, der kan bruges i tilsynet efter § 7.
Vælges en auditor, der står for tæt på arbejdet, kan resultatet være svært at bruge over for bestyrelse og myndighed. Det kan betyde, at gennemgangen må gøres om, og at ledelsen i mellemtiden har handlet på et billede, ingen uden for projektet har set efter i sømmene.
Det skal I lade være med
- At forveksle en persons certificering med en myndighedsgodkendelse · ingen myndighed godkender NIS2-auditorer.
- At kalde rapporten en godkendelse · det er myndigheden, der vurderer, om loven er overholdt.
- At vælge den, der byggede arbejdet, uden at overveje konflikten · vurderingen bliver svær at forsvare.
Det skal auditten kunne vise
- ☐ Kriterierne: § 6, vejledningens krav og anbefalinger og eventuel sektorvejledning.
- ☐ Auditors erklæring om forhold til det, der undersøges.
- ☐ Hvem der udførte arbejdet, og hvilken baggrund hver har.
- ☐ En vurdering af ledelsesorganets godkendelse og tilsyn efter § 7.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 7, 21 og 24, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilag punkt 2.3.2, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- ENISA, Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690, version 1.0, juni 2025, punkt 2.3, https://www.enisa.europa.eu/sites/default/files/2025-06/ENISA_Technical_implementation_guidance_on_cybersecurity_risk_management_measures_version_1.0.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, kolofon og s. 9-10, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Revisionshus, advokat eller sikkerhedsrådgiver · Hvad påvirker prisen på en NIS2-audit
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
