Når den kompetente myndighed beder om dokumentation efter NIS2-loven, bør direktionen samme dag udpege én person, der ejer svaret, og læse anmodningen nøje. Myndigheden skal efter loven angive formålet og præcisere, hvilke oplysninger den vil have, og i hvilken form. Svaret skal dække præcis det, og det skal vise to ting tydeligt: at ledelsesorganet har godkendt foranstaltningerne, og at det fører tilsyn med dem. Mangler noget, er det bedre at vise en godkendt plan for at rette det end at forsøge at skjule hullet. Hvordan den enkelte myndighed arbejder i praksis, kan variere, og den bør ingen gætte på.
Hvad loven siger om anmodningen
NIS2-loven skelner mellem væsentlige og vigtige enheder. Over for væsentlige enheder fører de kompetente myndigheder tilsyn efter § 21 og kan blandt andet kræve at få udleveret oplysninger, adgang til data og dokumenter og dokumentation for gennemførelsen af cybersikkerhedspolitikker. Over for vigtige enheder er tilsynet efter § 24 reaktivt og sker efter indikationer på, at loven ikke er overholdt. Begge bestemmelser forpligter myndigheden til at angive formålet med kravet og præcisere, hvilke oplysninger der skal udleveres, og hvordan og i hvilken form.
Hvilken myndighed der er kompetent, afhænger af sektoren. Oversigten findes under kompetente myndigheder, og myndighedernes muligheder for audit og scanning er gennemgået under tilsyn, audit og scanning.
Hvem svarer?
Svaret er virksomhedens, og afsenderen bør være direktionen. Bestyrelsen bør orienteres om anmodningen med det samme. Den, der forbereder svaret, kan være virksomhedens CISO, intern eller ekstern, eller en anden person med overblik over sikkerhedsarbejdet. Det vigtige er, at én person ejer opgaven, har adgang til de nødvendige dokumenter og kan svare på opfølgende spørgsmål.
Ledelsen bør desuden overveje, om der er behov for juridisk bistand. Er anmodningen udløst af en hændelse eller af indikationer på manglende overholdelse, kan det være klogt at inddrage en advokat tidligt. Juridisk rådgivning ligger uden for denne artikel.
Svarfristen fremgår typisk af anmodningen. Kan fristen ikke overholdes, bør I kontakte myndigheden hurtigt og forklare hvorfor. En kort, saglig henvendelse i god tid er bedre end et svar, der kommer for sent.
Læs anmodningen ord for ord
Lav en liste over hvert punkt, myndigheden beder om, med den form, den ønsker det i. Ud for hvert punkt står, hvor dokumentet findes, hvem der ejer det, og om det er klar. Listen er både arbejdsplan og indholdsfortegnelse til svaret. Gennemgå den sammen med direktionen, inden noget sendes.
Send det, der bliver bedt om. Et svar, der indeholder alt, hvad virksomheden har af dokumenter, gør det sværere for myndigheden at finde det relevante og kan rejse nye spørgsmål. Er I i tvivl om, hvad et punkt dækker, så spørg myndigheden. Gem en kopi af alt, hvad der sendes, med dato og afsender. Kommer der opfølgende spørgsmål måneder senere, skal virksomheden kunne se præcis, hvad myndigheden fik, og hvilken version af hvert dokument der var vedlagt.
Vis godkendelserne
Lovens § 7 kræver, at ledelsesorganet har godkendt foranstaltningerne. Godkendelsen skal kunne ses. Det kan være et referat fra et bestyrelsesmøde, hvor politikken og risikovurderingen blev godkendt, eller en dateret og underskrevet politik med versionsnummer. Den bedste dokumentation viser, hvad der blev godkendt, af hvem og hvornår.
Ifølge SAMSIK’s implementeringsvejledning er dokumentation først og fremmest skrevne politikker og procedurer, men ved tilsyn kan den også have andre former, fx logfiler, udskrifter af adgangstilladelser og referater. Har virksomheden styr på, hvem der ejer hvilket dokument, og hvilken version der gjaldt hvornår, er dette trin hurtigt. Hvordan det ejerskab kan organiseres, står i Hvem ejer hvilket sikkerhedsdokument?.
Vis tilsynet
Ledelsesorganet skal også føre tilsyn med, at foranstaltningerne gennemføres. Tilsynet viser sig i rapporter til ledelsen, i referater, hvor ledelsen har stillet spørgsmål og truffet beslutninger, og i opfølgning på punkter, der var forsinkede. Medlemmernes deltagelse i kurser efter § 7, stk. 2, hører også med og kan dokumenteres med kursusbeviser eller program og deltagerliste.
En samlet oversigt over de seneste års sikkerhedsrapporter og de beslutninger, ledelsen har truffet på grundlag af dem, er ofte det stærkeste bevis på, at tilsynet fungerer. Hvad godkendelse og tilsyn betyder konkret, er uddybet i Ledelsen skal godkende og føre tilsyn.
Når noget mangler
De fleste virksomheder vil opdage huller under arbejdet. Måske er risikovurderingen ikke opdateret, eller en procedure findes kun som udkast. Efter § 6, stk. 2, skal manglende overholdelse af kravene føre til korrigerende foranstaltninger uden unødigt ophold.
Beskriv derfor manglen, og vedlæg den plan, ledelsen har godkendt for at rette den, med ejer og frist. Hvordan en mangel registreres og følges op, er beskrevet i korrigerende foranstaltninger.
Tænk på en mellemstor forsyningsvirksomhed, der modtager en anmodning om politikker for risikoanalyse, dokumentation for ledelsens godkendelse og en oversigt over hændelser det seneste år. Direktøren udpeger den eksterne CISO som ansvarlig for svaret. Gennemgangen viser, at politikken er godkendt, men at risikovurderingen er fjorten måneder gammel. Bestyrelsen godkender på et ekstraordinært møde en plan for at opdatere den inden for seks uger, og planen vedlægges svaret.
Det skal I lade være med
- At sende alt, hvad I har · svar på det, der bliver spurgt om.
- At lave dokumenter med tilbagevirkende dato · vis i stedet den plan, der retter manglen.
- At lade svaret gå direkte fra IT-leverandøren · svaret er virksomhedens.
- At overskride fristen uden at kontakte myndigheden · spørg i god tid.
- At gætte på myndighedens praksis · spørg, hvis anmodningen er uklar.
Det skal I kræve af den eksterne
- ☐ En liste over hvert punkt i anmodningen med ejer, placering og status.
- ☐ Dokumentation for ledelsesorganets godkendelser med dato og version.
- ☐ En oversigt over rapporter til ledelsen og de beslutninger, de førte til.
- ☐ En ærlig beskrivelse af mangler med en godkendt plan.
- ☐ Et udkast til svaret, som direktionen gennemgår og sender.
Inden for det første døgn
Udpeg den ansvarlige, notér fristen, og lav listen over punkter. Ledelsens øvrige pligter er samlet under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 2, om korrigerende foranstaltninger, § 7 om godkendelse, tilsyn og kurser, § 21 og § 24 om tilsyn med væsentlige og vigtige enheder.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: dokumentationens former og tilgængelighed ved tilsyn.
Senest gennemgået: november 2026.
Næste skridt
- Ledelsen skal godkende og føre tilsyn: hvad betyder det konkret?
- Politik, retningslinjer og procedurer: hvilke dokumenter hører hvor?
Læs også: Hvem er ledelsesorganet efter NIS2-loven? · NIS2-uddannelse af ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
