Skal I vise, at jeres konfigurationer er styret, er punkt 6.3 i bilaget til gennemførelsesforordning (EU) 2024/2690 den mest præcise beskrivelse, EU-retten har. Kravet kan læses som tre led: en sikker konfiguration skal fastlægges, den skal håndhæves på både nye og eksisterende systemer, og den skal gennemgås med planlagte mellemrum og ved væsentlige ændringer.
Pligten rammer kun de udbydere, artikel 1 nævner. Andre kan bruge punktet som god praksis.
Hvem punktet gælder
Artikel 1 nævner en række digitale udbydere. Blandt dem er DNS-tjenester, cloud, datacentre, netværk til levering af indhold, administrerede tjenester og sikkerhedstjenester, markedspladser og søgemaskiner på nettet, sociale netværk og tillidstjenester. Driver I en af de tjenester, er punkt 6.3 en pligt.
Hører I ikke til, er punktet stadig værd at læse. Det er den korteste beskrivelse af, hvad det vil sige at styre konfigurationer, og den passer til en hvilken som helst drift.
Hvad punkt 6.3 siger
Punkt 6.3.1 pålægger de omfattede enheder at have styr på konfigurationerne hele vejen rundt. De skal etableres, dokumenteres, gennemføres og overvåges, også de sikkerhedsmæssige, og kravet omfatter både udstyr, programmer, tjenester og net.
Punkt 6.3.2 uddyber det i to litra. Efter litra a skal enheden “fastlægge og sikre sikkerheden i konfigurationerne”. Litra b handler om håndhævelsen: enheden har processer og værktøjer, der bringer systemerne i overensstemmelse med de sikre konfigurationer og holder dem der, og det gælder for både nyinstallerede systemer og systemer i drift i hele deres levetid.
Efter punkt 6.3.3 skal konfigurationerne gennemgås og ajourføres. Det sker med planlagte mellemrum og desuden, når en væsentlig hændelse eller ændring giver anledning til det.
Inddelingen i tre led er sitets forenkling. De svarer til 6.3.2 litra a, 6.3.2 litra b og 6.3.3.
Første led: fastlæg
At fastlægge en sikker konfiguration betyder at beslutte, hvordan systemerne skal være sat op. Det kan være en baseline fra producenten, et benchmark eller en egen standard, der bygger på en af dem.
Dokumentation, der viser leddet:
- Den valgte standard pr. platform med version og dato.
- Begrundelser for de punkter, hvor I afviger fra den.
- Godkendelse af standarden og den, der ejer den.
Forordningen nævner også, i punkt 6.1.2 litra d, at der ved erhvervelse skal indhentes oplysninger om den konfiguration, der er nødvendig for sikker drift af produktet. Det er en god kilde, når standarden for et nyt system skal fastlægges.
Andet led: håndhæv
At håndhæve betyder, at konfigurationen faktisk bliver sat og bliver ved med at være sat. Forordningen siger processer og værktøjer, og den nævner udtrykkeligt både nye systemer og systemer i drift.
Dokumentation, der viser leddet:
- De politikker, skabeloner eller scripts, der sætter konfigurationen, og hvilke systemer de gælder for.
- Udtræk af de effektive indstillinger fra et udvalg af systemer, der viser, at konfigurationen er slået igennem.
- Proceduren eller skabelonen for nye systemer, så standarden gælder fra første dag.
Punkt 6.3.1 nævner overvågning. Det kan forstås som en løbende kontrol af, om systemerne afviger fra den fastlagte konfiguration. Hvordan den kontrol skal ske, siger forordningen ikke.
Tredje led: gennemgå
Konfigurationerne skal gennemgås og ajourføres. Forordningen nævner ingen fast frekvens, kun planlagte mellemrum og væsentlige hændelser og ændringer. Den bruger samme vending flere steder i bilaget.
Dokumentation, der viser leddet:
- En plan for, hvornår gennemgangen sker.
- Spor af seneste gennemgang: dato, hvem der gennemgik, hvad der blev fundet, og hvad der blev rettet.
- En liste over de væsentlige ændringer og hændelser, der har udløst en gennemgang uden for planen.
Forbindelsen til ændringsstyring
Punkt 6.4.2 siger, at ændringsstyring også gælder ændringer af konfigurationen, og at hver ændring skal være beskrevet, afprøvet og vurderet, inden den sættes i værk. Efter punkt 6.4.3 skal også hasteændringer skrives ned, med udfaldet og med grunden til, at man gik uden om den sædvanlige vej.
For driften betyder det, at en afvigelse fra standarden enten skal kunne findes i ændringsloggen eller på listen over undtagelser. En afvigelse, der ikke står nogen af stederne, er et tegn på, at styringen ikke virker.
Den danske vejledning
Den danske myndighed for NIS 2-loven, SAMSIK, bruger lignende ord i sin vejledning. Under § 6, nr. 5, foreslår vejledningen, at enheden styrer og overvåger sine konfigurationer, også patches og opdateringer. Det er formuleret med “kan”, ikke “skal”. Hvordan konfigurationsstyring indgår i en samlet NIS2-audit, hører til det brede auditforløb.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet standard pr. platform, et værktøj eller en proces, der sætter den, og en plan for gennemgang. De fleste driftsorganisationer har dele af det. Det, der oftest mangler, er sporet af gennemgangen.
Uden styring glider konfigurationerne. Systemer, der blev sat korrekt op, ændres ved fejlsøgning og bliver ikke sat tilbage, og nye systemer kommer i drift med producentens standardværdier.
Det skal I lade være med
- At have en standard uden et værktøj, der håndhæver den · så er den en hensigt.
- At glemme nye systemer · forordningen nævner dem udtrykkeligt.
- At kalde punktet et krav, når jeres virksomhed ikke står i artikel 1 · så er det god praksis.
Det skal gennemgangen kunne vise
- ☐ En fastlagt sikker konfiguration pr. platform med version, ejer og godkendelse.
- ☐ Udtræk af effektive indstillinger, der viser, at konfigurationen er håndhævet.
- ☐ Proceduren for nye systemer.
- ☐ Spor af seneste gennemgang og de ændringer, der udløste en ekstra.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget, punkt 6.1.2, 6.3 og 6.4, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6, nr. 5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hver platform, hvor standarden står, hvad der håndhæver den, og hvornår den sidst blev gennemgået.
Læs også: Ændringsloggen som bevis · Nyt system før idriftsættelse
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
