Ja. En virksomhed kan have alle politikker skrevet, godkendt og arkiveret og alligevel være let at ramme, fordi det, der står i dokumenterne, ikke er det, der sker i hverdagen. Det modsatte findes også: en virksomhed med god teknisk praksis, som ikke kan vise det. NIS2-loven forsøger at lukke det hul ved at kræve, at foranstaltningerne er passende og forholdsmæssige i forhold til risikoen, og at ledelsesorganet både godkender dem og fører tilsyn med, at de bliver gennemført. Ledelsens opgave er derfor at holde øje med afstanden mellem papir og praksis.
Hvor afstanden opstår
Dokumentation bliver ofte skrevet i et projekt med en frist. Når projektet er slut, går folk tilbage til deres normale arbejde, og dokumenterne bliver liggende. Et år senere er der nye systemer, nye leverandører og nye medarbejdere, men politikken beskriver stadig den gamle virkelighed.
Afstanden opstår typisk fire steder.
- Skabeloner uden tilpasning. En politik, der er kopieret fra en standard, lover kontroller, som ingen har indført.
- Ejerløse procedurer. En procedure for adgangsgennemgang findes, men ingen har fået opgaven, så den udføres ikke.
- Leverandørens løfter. Aftalen siger, at backup testes, men ingen hos jer har set resultatet.
- Risikovurderinger, der ikke opdateres. Vurderingen blev lavet før den nye webshop eller det nye ERP-system og afspejler ikke de risici, der fylder nu.
Hvad loven faktisk beder om
NIS2-lovens § 6 pålægger væsentlige og vigtige enheder at styre risiciene med foranstaltninger, der er passende og forholdsmæssige, og som kan være tekniske, operationelle eller organisatoriske. Ordene passende og forholdsmæssige betyder, at foranstaltningerne skal stå mål med de risici, virksomheden faktisk har. En tjekliste, der er udfyldt uden en risikovurdering bagved, opfylder derfor ikke formålet, selv om alle felter er krydset af.
Efter § 7 har ledelsesorganet to pligter: at godkende foranstaltningerne og at holde øje med, at de gennemføres. Tilsyn er en løbende opgave, og det er her, ledelsen kan opdage, at praksis er gledet væk fra dokumenterne. Hvad godkendelse og tilsyn indebærer, er gennemgået i ledelsen skal godkende og føre tilsyn. En mere teknisk gennemgang af de ti minimumskrav set fra testen findes hos NIS2-lovens paragraf 6 på nis2-pentest.dk.
Sådan ser ledelsen, om papir og praksis hænger sammen
Ledelsen kan føre et godt tilsyn uden selv at læse logfiler, når den stiller spørgsmål, der kræver bevis frem for forsikringer. Nogle eksempler:
- Hvornår blev backup sidst genskabt, og hvor lang tid tog det?
- Hvor mange brugere med administratorrettigheder har vi, og hvem gennemgik listen sidst?
- Hvilke leverandører har adgang til vores systemer, og hvornår har vi sidst fået dokumentation fra dem?
- Hvad var den seneste hændelse, og hvad ændrede vi bagefter?
Hvis svaret er “det står i politikken”, er det et tegn på afstand. Hvis svaret er en dato, et resultat og et navn, er praksis sandsynligvis i orden. Hvordan ledelsen vurderer, om foranstaltningerne virker, er beskrevet særskilt.
Et tænkt eksempel
En vigtig enhed i fødevaresektoren med 80 ansatte har fået hjælp til at skrive sine NIS2-dokumenter. Alt er godkendt af bestyrelsen. Ved første kvartalsopfølgning spørger direktøren, hvornår adgangsrettighederne sidst blev gennemgået. Det viser sig, at proceduren kræver det hvert halve år, men at ingen har fået opgaven. Samtidig har produktionen fået en ny fjernadgang for maskinleverandøren, som ikke indgår i risikovurderingen.
Ingen af de to forhold ses i dokumenterne. Begge bliver synlige, fordi ledelsen spurgte efter praksis. Rettelsen er enkel: en ejer på proceduren, en opdateret risikovurdering og en dato for næste opfølgning.
Når kravene kommer fra flere sider
Mange virksomheder skal svare på krav fra NIS2, fra kunder og fra forsikringsselskabet på samme tid. Hvis hvert krav får sin egen mappe, vokser papirmængden, mens den faktiske beskyttelse står stille. Det er mere robust at have ét sæt foranstaltninger, der bygger på jeres egen risikovurdering, og så vise, hvordan det sæt svarer på de forskellige krav. Tilgangen er beskrevet i én samling dokumentation til mange kunder.
Det giver også et bedre grundlag for tilsynet. Når der kun findes ét sæt foranstaltninger, ved ledelsen, hvad den fører tilsyn med, og afvigelser bliver lettere at se. Med flere parallelle sæt kan en procedure være fulgt i den ene mappe og glemt i den anden, uden at nogen opdager det. Et enkelt sæt kræver til gengæld, at nogen holder styr på, hvilke krav hver foranstaltning svarer på, så svarene til kunder og myndighed kan findes hurtigt.
Det skal I lade være med
- At måle fremdrift i antal dokumenter. Tyve godkendte politikker siger intet om, hvorvidt de følges.
- At godkende uden at læse. Godkendelsen efter § 7 er et ledelsesansvar, og den forudsætter, at ledelsen forstår, hvad den godkender.
- At lade samme person skrive og kontrollere. Den, der har formuleret proceduren, er sjældent den bedste til at se, at den ikke følges.
- At udskyde tilsynet til den årlige gennemgang. Afstanden vokser mellem møderne.
- At sætte lighedstegn mellem en bestået revision og lav risiko. En revision kontrollerer det, den spørger om, og ikke nødvendigvis det, der truer jer.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne holde dokumentation og praksis sammen og vise det for ledelsen.
- ☐ En risikovurdering, som foranstaltningerne tydeligt bygger på.
- ☐ En ejer og en dato for hver procedure, der kræver en gentagen handling.
- ☐ Bevis frem for forsikringer i statusrapporten, fx dato for seneste gendannelsestest.
- ☐ Besked til direktionen, når en procedure ikke er fulgt, med forslag til rettelse.
- ☐ Opdatering af risikovurderingen ved nye systemer, leverandører og forretningsområder.
- ☐ Anbefalinger, der ikke afhænger af aftaler med de leverandører, som foreslås.
Første skridt
Vælg tre procedurer fra jeres dokumentation, som kræver en gentagen handling. Spørg, hvem der ejer dem, hvornår de sidst blev udført, og hvor resultatet ligger. Er svarene tydelige, har I et godt grundlag. Er de det ikke, ved I, hvor arbejdet skal starte. Hele ledelsesrollen efter loven er samlet under ledelsens NIS2-ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, om passende og forholdsmæssige foranstaltninger og § 7, stk. 1, om ledelsesorganets godkendelse og tilsyn.
- Direktiv (EU) 2022/2555 (NIS2): art. 20 om ledelsesorganer og art. 21 om foranstaltninger til styring af cybersikkerhedsrisici.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er en ekstern CISO mest papirarbejde? · Hvor ofte skal sikkerhedspolitikkerne gennemgås?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
