Når virksomheden opdager, at et af minimumskravene i NIS2-loven ikke er opfyldt, skal manglen rettes uden unødigt ophold. I praksis kræver det en fast arbejdsgang: manglen skrives ind i et register, får en ejer og en prioritet, tildeles en frist ud fra risikoen og rapporteres til ledelsen, indtil den er lukket. CISO-rollen holder registeret og foreslår prioritet og frist. Ledelsen godkender planen, tilfører ressourcer, hvor der mangler, og tager stilling, når en frist ikke kan holdes.
Hvad § 6, stk. 2, siger
NIS2-lovens § 6, stk. 2, pålægger en enhed, som mangler at opfylde et eller flere krav i stk. 1 eller i regler udstedt efter stk. 3, at sætte de nødvendige, passende og forholdsmæssige rettelser i værk uden unødigt ophold. Loven kalder dem korrigerende foranstaltninger. Efter § 7, stk. 1, omfatter ledelsesorganets godkendelse og tilsyn også de foranstaltninger, der træffes efter § 6, stk. 2.
Loven fastsætter ingen bestemt frist. “Uden unødigt ophold” må forstås som et krav om, at arbejdet sættes i gang, så snart manglen er kendt, og at tidsplanen kan begrundes. Hvordan den kompetente myndighed vil vurdere en konkret sag, kan denne tekst ikke svare på. Virksomheden kan derimod dokumentere, at den har handlet bevidst og hurtigt.
Hvor manglerne kommer fra
Mangler dukker op mange steder, og en del af arbejdet er at samle dem ét sted. Typiske kilder er:
- Ledelsens egen vurdering af foranstaltningerne og interne gennemgange.
- Fund fra en sikkerhedstest eller en revision.
- Erfaringer efter en hændelse eller en øvelse.
- Spørgsmål i et sikkerhedsspørgeskema fra en kunde, som virksomheden ikke kunne svare ja til.
- Leverandørrapporter, der viser, at en aftalt foranstaltning ikke er gennemført.
Hvis fundene ligger spredt i mails, testrapporter og mødereferater, er der ingen, der kan se det samlede billede, og de samme mangler bliver opdaget igen og igen.
Et register med få felter
Registeret kan være et regneark. Det vigtige er, at alle mangler står der, og at hver linje har de samme oplysninger:
- Beskrivelse af manglen i et sprog, ledelsen forstår.
- Hvilket krav i § 6, stk. 1, den vedrører.
- Kilde og dato, så det kan ses, hvornår virksomheden fik kendskab til den.
- Prioritet ud fra konsekvens og sandsynlighed.
- Ejer, som er ansvarlig for, at rettelsen bliver gennemført.
- Frist og status.
Feltet med datoen er det, der senere kan vise, at virksomheden handlede uden unødigt ophold. Når en linje lukkes, noteres det, hvad der blev gjort, og hvem der bekræftede det. Registeret kan godt ligge hos den eksterne CISO i det daglige, men virksomheden skal eje det og have adgang til det, også den dag samarbejdet ophører.
Prioritering og frist
Ikke alle mangler kan rettes på én gang. En enkel model med tre niveauer er som regel nok i en mindre virksomhed. Det højeste niveau gælder mangler, der giver en direkte vej ind til kritiske systemer, fx manglende MFA på fjernadgang. De rettes straks, eller der indføres en midlertidig begrænsning, mens rettelsen planlægges. Det mellemste niveau rettes inden for en aftalt periode, typisk som del af den næste plan. Det laveste niveau samles op i det almindelige forbedringsarbejde.
Ledelsen beslutter, hvad niveauerne betyder i tid, og CISO-rollen indplacerer manglerne. Er der uenighed om indplaceringen, afgør ledelsen den. Hvordan arbejdet i det hele taget prioriteres, står i Hvad skal vi gøre først?.
I et ingeniørfirma med 25 ansatte kan registeret efter den første gennemgang rumme et par dusin linjer. Tre af dem vil måske ligge på det højeste niveau. Det giver ledelsen et konkret valg om, hvad de næste måneders ressourcer skal bruges på.
Rapportering til ledelsen
Registeret skal op på ledelsens bord med faste mellemrum. En kort status til hvert tilsynsmøde viser, hvor mange mangler der er åbne på hvert niveau, hvilke der er lukket siden sidst, og hvilke der har overskredet fristen. Status kan indgå i den samlede sikkerhedsrapport til bestyrelsen. En enkelt linje i statussen kan lyde sådan: MFA mangler på leverandørens fjernadgang, højeste niveau, ejer er driftsleverandøren, fristen var 1. marts, og arbejdet er to uger forsinket.
Ledelsen bør især se efter mangler, der har stået åbne længe, og mangler, hvor ejeren mangler ressourcer. Det er her, ledelsens tilsyn efter § 7, stk. 1, gør en forskel, se Ledelsen skal godkende og føre tilsyn.
Når fristen ikke holder
En frist kan glide, fordi leverandøren er forsinket, eller fordi rettelsen kræver en investering, der ikke er besluttet. Så har ledelsen tre muligheder: at tilføre ressourcer, at flytte fristen med en begrundelse eller at acceptere risikoen midlertidigt og indføre en anden begrænsning. Den tredje mulighed kræver en formel beslutning, se Hvem må acceptere en risiko?. Uanset valget skal det stå i referatet og i registeret.
Det skal I lade være med
- At lade fund ligge i testrapporten. De skal ind i registeret med ejer og frist.
- At give alle mangler højeste prioritet. Så bliver ingen af dem rettet hurtigere.
- At lukke en linje uden bekræftelse. Nogen skal have set, at rettelsen er gennemført.
- At flytte frister stiltiende. En ny frist kræver en begrundelse.
- At gemme registeret for ledelsen, fordi det ser dårligt ud. Et ærligt register er bedre dokumentation end et pænt.
Det skal I kræve af den eksterne
- ☐ Et samlet register med de seks felter og alle kendte mangler.
- ☐ Et forslag til, hvad de tre prioritetsniveauer betyder i tid.
- ☐ En status til hvert tilsynsmøde med åbne, lukkede og forsinkede punkter.
- ☐ Opfølgning hos leverandørerne på de mangler, de ejer.
- ☐ Dokumentation af datoer, så det kan vises, hvornår arbejdet blev sat i gang.
Sådan kommer I i gang
Saml de seneste testrapporter, revisionsbemærkninger og kundespørgeskemaer, og bed den eksterne CISO om at lægge alle åbne punkter ind i ét register. Første version kan forelægges på næste ledelsesmøde med et forslag til, hvilke tre mangler der skal lukkes først.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 2 (korrigerende foranstaltninger), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: tilsyn gennem periodiske ledelsesrapporter med status på handleplaner.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Nøgletal for sikkerhed, som ledelsen kan følge · Årshjul for sikkerhedsarbejdet i ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
