Nej, ikke af sig selv. I vejledningen til NIS2-foranstaltningerne slår Styrelsen for Samfundssikkerhed (SAMSIK) fast, at en standard hjælper med efterlevelsen, og at den ikke i sig selv sikrer, at kravene er opfyldt. Har I arbejdet efter ISO/IEC 27001, kan en stor del af arbejdet alligevel genbruges, fordi vejledningen selv peger på standardens afsnit, kapitel for kapitel. Det, der ikke kan genbruges, er fristerne, ledelsesorganets egen rolle og hullerne mellem jeres ISO-omfang og lovens. Artiklen gennemgår begge dele. Den er ikke juridisk rådgivning.
To forskellige slags krav
NIS2-loven er lovgivning. Den gælder for omfattede enheder, og en myndighed fører tilsyn. ISO/IEC 27001 er en standard, I selv vælger at følge, for et ledelsessystem for informationssikkerhed, ofte forkortet ISMS. Hvad den rummer for en mindre virksomhed, står i ISO 27001 i en mindre virksomhed.
Ifølge SAMSIK er det altid jeres sektoransvarlige myndighed, som afgør, om I lever op til loven. Et certifikat fra et certificeringsorgan siger derfor noget om jeres ledelsessystem over for kunder og andre, mens myndigheden stadig kan stille sine egne spørgsmål. Hvis I ikke har et certifikat, ændrer det ikke noget i regnestykket. Loven kræver ikke et.
Det, I kan genbruge
Vejledningen har efter hvert afsnit en liste over de dele af DS/EN ISO/IEC 27001:2023, der handler om det samme. Listen gør det muligt at kortlægge jeres arbejde mod loven, som SAMSIK selv foreslår. Et udsnit:
- § 6, stk. 1, nr. 1, politik og risikostyring · afsnit 5.2, 6.1, 6.2 og 9.3 samt blandt andet kontrol A.5.1.
- Nr. 2, håndtering af hændelser · kontrol A.5.24.
- Nr. 3, backup · kontrol A.8.13.
- Nr. 4, forsyningskæden · kontrol A.5.19 til A.5.21 og A.8.30.
- Nr. 6, vurdering af effektiviteten · afsnit 6.2, 9.1 og 9.3.
- Nr. 7, uddannelse · afsnit 7.2 og kontrol A.6.3.
- Nr. 8, kryptografi · kontrol A.5.31 og A.8.24.
I praksis kan risikovurderingen, politikkerne, leverandøroverblikket, ledelsens gennemgang og anvendelseserklæringen danne grundlaget. Bed den, der ejer systemet, om at lægge de ti punkter i § 6, stk. 1, ved siden af dem og markere, hvor I har dokumentation, hvor den kun delvist passer, og hvor der ikke er noget. Det er en afgrænset opgave, og den viser hurtigt, om I står tæt på eller langt fra.
Det, der ikke følger med
Seks ting bør ledelsen holde særskilt, når kortlægningen er lavet. Listen er vores læsning af loven og vejledningen.
Underretningen. §§ 12 og 13 kræver tidlig varsling inden for 24 timer og underretning inden for 72 timer ved væsentlige hændelser, og § 15 kræver besked til modtagerne af jeres tjenester. En procedure for hændelser i et ISMS skal derfor have lovens frister, kriterier og modtagere skrevet ind. Se fristerne samlet.
Ledelsesorganet. Efter § 7 er det ledelsesorganet, der godkender foranstaltningerne og følger deres gennemførelse, og medlemmerne skal på relevante kurser. I et selskab med bestyrelse og direktion er ledelsesorganet bestyrelsen, jf. § 3, nr. 20. Et ISMS, som direktionen har godkendt, opfylder altså ikke uden videre kravet. Tjek, hvem der har skrevet under, og hvem ledelsesorganet er hos jer.
Omfanget. Et ISO-system har et omfang, som ledelsen selv fastlægger, og det kan være en del af virksomheden. § 6 handler om de systemer, I bruger til jeres operationer eller til at levere jeres tjenester. Dækker systemet kun softwareudviklingen, står produktion, lager og økonomi måske uden for. Her ligger ofte det største hul.
Minimumslisten. I anvendelseserklæringen kan en kontrol fravælges med en begrundelse. De ti punkter i § 6, stk. 1, er et minimum, så et fravalg dér skal holdes op mod loven. Punkt 10 om multifaktorautentificering og sikret kommunikation gælder dog, hvor det er relevant.
Risikoens tyngdepunkt. SAMSIK skriver, at den risikobaserede tilgang også indebærer at se på de samfundsmæssige og økonomiske skader, en hændelse kan medføre, og at det afviger fra den traditionelle betragtning med virksomhedens egen økonomi og omdømme i centrum. Har jeres risikovurdering kun set på egne tab, skal den udvides med følgerne for kunder og modtagere. SAMSIK skriver desuden, at loven tager udgangspunkt i alle farer, også menneskelige fejl og skybrud.
Særlige regler. Sektorvejledninger kan gå videre. For digitale udbydere findes en gennemførelsesforordning, (EU) 2024/2690, som ifølge SAMSIK stiller højere krav end § 6. Energi, tele og finans har egne regler, se oversigten over myndigheder.
Hvis I ikke har ISO 27001
Så er spørgsmålet, om I bør begynde dér. Det er ikke nødvendigt for at opfylde loven. SAMSIK nævner, at enheder uden standard kan hente uddybning i standarderne, og NIST CSF er en anden af de rammer, vejledningen peger på, se CIS Controls og NIST CSF. Vores vurdering er, at valget bør afhænge af, hvad jeres kunder spørger efter. Kræver kunderne ISO, giver det mening at bygge arbejdet, så det tæller begge steder. Kræver de det ikke, kan I gå direkte efter § 6 og vejledningen.
Tænk på en distributør af kemikalier med 90 ansatte, som har et ISO-system for kvalitetsafdelingens systemer. Kortlægningen viser, at politikker og backup kan genbruges, at lageret og transportplanlægningen står uden for omfanget, og at hændelsesproceduren ikke nævner 24 timer. Bestyrelsen har aldrig godkendt noget. Tre punkter kommer på handleplanen, og omfanget udvides.
Det gør ledelsen nu
- Beslut, om kortlægningen skal laves mod § 6 og SAMSIKs vejledning.
- Få resultatet som en side med tre farver, og afvis lange regneark som ledelsesmateriale.
- Læg godkendelsen på bestyrelsens dagsorden, se godkendelse og tilsyn i praksis.
Det skal I lade være med
- At svare “vi har ISO” på et NIS2-spørgsmål · spørgsmålet går på loven, og svaret skal kunne vises punkt for punkt.
- At antage, at omfanget passer · læs det og hold det op mod de systemer, driften bygger på.
- At starte et ISO-forløb for at opfylde NIS2 · loven kræver det ikke, så beslutningen skal bygge på kundernes krav.
- At lade rådgiveren alene afgøre, hvad der er dækket · tilsynet kigger på jeres begrundelser.
Det skal I kræve af den eksterne
- ☐ En kortlægning af jeres arbejde mod § 6, stk. 1, med dokumentationen angivet for hvert punkt.
- ☐ En særskilt liste over det, der mangler, med ejer og dato.
- ☐ Lovens frister skrevet ind i hændelsesproceduren.
- ☐ Et udkast til ledelsesorganets godkendelse.
- ☐ Rådgivning uden provision eller aftaler med dem, der udsteder certifikater eller sælger værktøjer.
Kilder
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: afsnittene om risikobaseret tilgang og standarder, læsevejledningen og listerne med standarder i kapitel 1 til 8.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3, nr. 20, §§ 6, 7, 12, 13 og 15.
- DIGITAL SME: Vejledning til SMV’er om implementering af ISO/IEC 27001 (sikkerdigital.dk): fastlæggelse af omfang og anvendelseserklæring.
Senest gennemgået: november 2026.
Næste skridt
Læs også: ISMS i en mindre virksomhed · Væsentlig eller vigtig enhed
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
