Ledelsen vurderer det gennem en fast procedure med tre kilder: løbende nøgletal, interne gennemgange af udvalgte foranstaltninger og en årlig evaluering, hvor ledelsen samler billedet og beslutter, hvad der skal ændres. Tekniske test er en fjerde kilde, som bruges, hvor risikoen taler for det. Proceduren skrives ned, så det på forhånd er klart, hvem der vurderer hvad, hvor ofte, og hvad der sker, når en foranstaltning ikke virker. Uden den procedure bliver tilsynet en fornemmelse.
Kravet i § 6, stk. 1, nr. 6
Blandt minimumskravene står i § 6, stk. 1, nr. 6, at der skal være politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici. Bestemmelsen giver ledelsens tilsyn efter § 7, stk. 1, et fast grundlag. Ledelsesorganet skal føre tilsyn med gennemførelsen, og vurderingen af effektiviteten er den måde, tilsynet får indhold på.
Hvad procedurerne bør indeholde, er beskrevet i SAMSIK’s vejledning til implementering. Der skal være metoder til at kontrollere, at foranstaltningerne er gennemført og vedligeholdes, en vurdering af om de lever op til lovkravene, en angivelse af hvem der udfører vurderingerne, og en metode til at følge op, når en foranstaltning viser sig ineffektiv. Vurderingen bør tage højde for risikovurderingen og tidligere hændelser.
Forskellen på gennemført og virksom
En foranstaltning kan være gennemført uden at virke. Multifaktorautentificering kan være slået til for alle medarbejdere, men ikke for den administratorkonto, leverandøren bruger. En procedure for fratrædelser kan være skrevet, men ikke fulgt, så tidligere medarbejdere stadig har adgang. Vurderingen skal derfor stille to spørgsmål til hver foranstaltning. Er den indført som besluttet? Og beskytter den mod den risiko, den blev valgt for?
Det første spørgsmål kan ofte besvares med en kontrol af dokumentation og opsætning. Det andet kræver, at nogen ser på resultatet, fx om antallet af hændelser i kategorien falder, eller om en afprøvning lykkes.
Tre kilder i fast rytme
En enkel procedure for en mindre virksomhed kan bygge på tre kilder:
- Nøgletal hvert kvartal. Få tal, der hver siger noget om en foranstaltning, fx andelen af konti med multifaktorautentificering, kritiske sårbarheder ældre end den fastsatte frist og senest gennemførte genskabelse fra backup. Valget af tal er emnet under nøgletal for sikkerhed.
- Interne gennemgange efter plan. Hvert år udvælges nogle foranstaltninger til en grundigere gennemgang, så alle områder i § 6, stk. 1, er gennemgået over en periode, ledelsen fastsætter. Den, der gennemgår, bør ikke selv have indført foranstaltningen.
- Ledelsens årlige evaluering. Ledelsen ser på nøgletal, gennemgange, hændelser og test samlet og beslutter ændringer i foranstaltninger, ressourcer eller prioritering.
Placeringen i året kan følge Årshjul for sikkerhedsarbejdet i ledelsen.
Hvor test passer ind
Lovbemærkningerne, som SAMSIK citerer, nævner, at procedurerne også skal vurdere behovet for tekniske test, fx sårbarhedsscanninger eller penetrationstest. En test er en værdifuld kilde, fordi den viser, hvad en angriber kan nå. Den dækker dog kun det, den er sat til at undersøge, og den siger lidt om fx leverandørstyring eller uddannelse. Hvad en test kan og ikke kan besvare for ledelsen, er beskrevet på sikkerhedstesten.dk om hvad testen kan svare på.
Ledelsens beslutning er, hvor ofte og hvor meget der testes, ud fra risikovurderingen. Resultatet indgår i den årlige evaluering sammen med de øvrige kilder.
Den årlige evaluering som ledelsesbeslutning
Den årlige evaluering er det sted, hvor ledelsesorganet tydeligst udøver sit tilsyn. Et godt oplæg samler på få sider:
- hvilke foranstaltninger der er vurderet, og af hvem
- hvilke der virker som forventet, og hvilke der ikke gør
- hændelser i året og hvad de viste om foranstaltningerne
- forslag til ændringer med ansvarlig, frist og ressourcebehov
- risici, hvor ledelsen skal tage stilling til accept eller ny indsats
Beslutningerne skrives i referatet. Er en foranstaltning ineffektiv, er det en mangel, som efter § 6, stk. 2, skal rettes uden unødigt ophold. Hvordan det håndteres, står i Når et krav ikke er opfyldt. Ledelsens pligt til godkendelse og tilsyn er gennemgået for sig.
Den, der har valgt og indført en foranstaltning, har en naturlig interesse i, at den ser ud til at virke. Derfor er det klogt at adskille rollerne, så driftsleverandøren beskriver status, mens en anden vurderer. I en virksomhed uden egen sikkerhedsfunktion kan en ekstern CISO være den, der vurderer, så længe den samme person ikke også leverer driften.
Det skal I lade være med
- At tælle gennemførte opgaver som effekt. En lukket opgave viser aktivitet, mens effekten skal måles i resultatet.
- At lade leverandøren evaluere sig selv. Leverandørens egen status er en kilde blandt flere og skal efterprøves af en anden.
- At gøre en årlig pentest til hele vurderingen. Mange foranstaltninger ligger uden for, hvad en test ser.
- At evaluere uden at beslutte. En evaluering uden ændringer eller begrundet fortsættelse giver ikke tilsynet indhold.
- At vælge nøgletal, der altid er grønne. Tal, der aldrig ændrer sig, fortæller ingenting.
Det skal I kræve af den eksterne
- ☐ Et udkast til politik og procedure for vurdering af effektivitet med roller og rytme.
- ☐ En plan, der dækker alle områder i § 6, stk. 1, over en fastsat periode.
- ☐ Et oplæg til ledelsens årlige evaluering med konkrete beslutningspunkter.
- ☐ En klar adskillelse mellem dem, der driver foranstaltningerne, og dem, der vurderer dem.
- ☐ En begrundet anbefaling om behovet for tekniske test frem for en fast pakke.
Evalueringen hænger sammen med ledelsens øvrige pligter under NIS2 og ledelsen. Næste skridt er at vælge én foranstaltning, I har godkendt, og spørge, hvordan I ville vide, hvis den holdt op med at virke.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 6 (vurdering af effektiviteten), § 6, stk. 2 (korrigerende foranstaltninger), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 6.a om vurdering af effektiviteten og 6.b om tekniske test.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra f.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Sikkerhedsrapport til bestyrelsen: én side, der kan bruges · Kan man overholde NIS2 og stadig være sårbar?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
