Den kompetente myndighed kan kontrollere en væsentlig enhed løbende, også uden at noget er gået galt, mens en vigtig enhed som udgangspunkt først mødes af tilsyn, når der er indikationer på, at loven ikke er overholdt. Begge typer enheder kan få kontrol på stedet, audit, scanning og krav om oplysninger og dokumenter. For ledelsen er konsekvensen den samme: dokumentationen for godkendelse, tilsyn og foranstaltninger skal findes, før nogen spørger. Artiklen forklarer reglerne og den forberedelse, der kan laves i ro. Hvad I gør den dag, et brev faktisk lander, står i ledelsens første skridt ved en anmodning.
To slags tilsyn i loven
Lov nr. 434 af 6. maj 2025 deler reglerne om tilsyn i to. § 21 gælder væsentlige enheder. Myndigheden fører tilsyn med, at de overholder loven, og kan blandt andet:
- foretage kontrol på stedet og eksternt tilsyn uden retskendelse, herunder stikprøver,
- gennemføre regelmæssige og målrettede sikkerhedsaudits eller kræve, at et kvalificeret uafhængigt organ gør det,
- foretage sikkerhedsscanninger,
- kræve oplysninger, data og dokumenter, der er nødvendige for at vurdere foranstaltningerne,
- kræve dokumentation for, at cybersikkerhedspolitikkerne er gennemført.
§ 24 gælder vigtige enheder. Her er tilsynet reaktivt, og myndigheden bruger sine beføjelser efter indikationer på manglende overholdelse. Listen ligner § 21, men auditten er målrettet frem for regelmæssig, og vurderingen af foranstaltningerne sker efterfølgende. Når myndigheden beder om oplysninger eller dokumentation, skal den efter § 21, stk. 2, og § 24, stk. 2, oplyse, hvad formålet er, og hvordan materialet skal leveres.
Om virksomheden er væsentlig eller vigtig, følger af §§ 4 og 5 og lovens bilag. Den sondring afgør altså, om tilsynet kan komme uopfordret.
Hvem der fører tilsynet
NIS2 har flere kompetente myndigheder, fordelt efter sektor. Fordelingen står i bekendtgørelse nr. 620 af 2. juni 2025 om udpegning af kompetente myndigheder. Styrelsen for Samfundssikkerhed, SAMSIK, skriver på sin tilsynsside, at den selv er kompetent myndighed for blandt andet den centrale statsforvaltning, kommunerne, dele af fremstillingssektoren og enheder inden for kemikalier. Andre sektorer har deres egen myndighed. Den første opgave er derfor at finde jeres myndighed og læse, hvad den har offentliggjort om sin praksis.
Kender I ikke jeres sektor og myndighed, giver oversigten under kompetente myndigheder på nis2-pentest.dk et udgangspunkt, som I bør holde op mod bekendtgørelsen.
Sådan ser tilsynet ud lige nu
SAMSIK oplyser, at styrelsens NIS2-tilsyn i 2026 og 2027 forventes at være brede tilsyn baseret på spørgeskemaer, rettet mod kommuner og mod offentlige forvaltningsenheder i den centrale forvaltning. De suppleres af dybere tilsyn med udvalgte enheder om bestemte emner, og der føres tilsyn med registreringerne. For de øvrige væsentlige enheder koordineres tilsynet med de andre kompetente myndigheder.
Spørgerammen til kommunerne bygger ifølge styrelsen på lovens krav til foranstaltninger. Den er offentliggjort og kan læses af alle. Også en privat virksomhed kan bruge den som indikation af, hvordan en myndighed stiller spørgsmålene. Andre myndigheders planer kan se anderledes ud, og deres egne sider bør læses.
Det, myndigheden typisk vil se
Lovens beføjelser peger på fire slags materiale, og en virksomhed kan med fordel samle dem ét sted:
- Grundlaget · risikovurderingen og de politikker, der bygger på den, med dato og version.
- Ledelsens godkendelse · referater eller beslutninger, der viser, at ledelsesorganet har godkendt foranstaltningerne efter § 7.
- Gennemførelsen · bevis for, at politikkerne bruges i hverdagen, fx adgangslister, logudtræk, testrapporter og hændelseslog.
- Ledelsens opfølgning · rapporter til ledelsen og de beslutninger, de har ført til, samt kursusbeviser.
Ifølge SAMSIKs implementeringsvejledning er dokumentationen først og fremmest de nedskrevne politikker og procedurer, men ved tilsyn kan andre former komme i spil. Samlingen behøver ikke være et nyt dokument. Den kan være en kort indholdsfortegnelse, der peger på, hvor tingene ligger, og hvem der ejer hvert punkt. Hvordan godkendelse og tilsyn konkret kan se ud, har sin egen artikel om godkendelse og tilsyn i praksis.
Audit, scanning og besøg på stedet
Kontrol på stedet og scanninger kan ske uden forudgående anmodning om dokumenter. For ledelsen betyder det, at nogen skal vide, hvem der tager imod, og hvem der har adgang til hvad. Bliver jeres systemer passet af en IT-leverandør, bør aftalen sige, at leverandøren medvirker ved et tilsyn, og hvem der betaler for det. En scanning udefra rammer jeres systemer, også dem leverandøren driver.
Kravet om et uafhængigt organ til audit kan komme som en afgørelse. Hvordan audit og scanning foregår i praksis og spiller sammen med jeres egne test, er beskrevet under tilsyn, audit og scanning.
Tænk på en produktionsvirksomhed med 300 ansatte, der er væsentlig enhed efter bilag 1. Direktionen beslutter, at tilsynsmappen gennemgås hvert halvår. Ved første gennemgang viser det sig, at politikken for adgangsstyring er godkendt, men at ingen kan vise, at brugerlisterne er gennemgået. Punktet kommer på handleplanen med en ejer og en dato.
Det skal I lade være med
- At vente med at samle dokumentationen · en tilsynsfrist er kort, og opbygning under pres giver huller.
- At antage, at vigtige enheder aldrig får tilsyn · en hændelse eller en henvendelse kan være den indikation, der udløser det.
- At lade leverandøren være ukendt med tilsynet · aftalen bør sige, hvad leverandøren skal bidrage med.
- At regne SAMSIKs plan for gældende for alle · jeres egen myndighed kan arbejde på en anden måde.
- At gemme dokumenter uden dato og version · ved tilsyn skal I kunne vise, hvad der gjaldt hvornår.
Det skal I kræve af den eksterne
- ☐ En afklaring af, om I er væsentlig eller vigtig enhed, og hvilken myndighed der fører tilsyn.
- ☐ En tilsynsmappe med indholdsfortegnelse, ejer og placering for hvert dokument.
- ☐ En halvårlig gennemgang af mappen med en kort status til direktionen.
- ☐ Et udkast til de klausuler om medvirken ved tilsyn, som leverandøraftalerne bør have.
- ☐ En beskrivelse af, hvem der tager imod ved kontrol på stedet, og hvem der kontaktes.
Hvad I gør nu
Slå jeres kompetente myndighed op, og læs, hvad den har offentliggjort om tilsyn. Lav derefter indholdsfortegnelsen over de fire slags materiale, og notér, hvad der mangler. Mangler føres ind som korrigerende foranstaltninger med ejer og frist. Hvis myndigheden senere finder noget, den vil have rettet, er trinene beskrevet i advarsel, påbud eller bindende instruks.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): §§ 4 og 5 (væsentlig eller vigtig enhed), § 7 (ledelsesorganet), § 21 og § 24 (tilsyn).
- Bekendtgørelse nr. 620 af 2. juni 2025 (retsinformation.dk): udpegning af kompetente myndigheder.
- SAMSIK: Tilsyn efter NIS 2-loven: tilsynsplan for 2026 og 2027, styrelsens eget område og spørgerammen til kommunerne.
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: dokumentationens former ved tilsyn.
Senest gennemgået: november 2026.
Næste skridt
- Den kompetente myndighed beder om dokumentation
- Advarsel, påbud eller bindende instruks: når myndigheden griber ind
Læs også: Hvem er ledelsesorganet efter NIS2-loven? · NIS2 og ledelsens ansvar
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
