NIS2 set fra driften: fra lovens § 6 og forordningens tekniske punkter til konfigurationsbevis

Er jeres virksomhed væsentlig eller vigtig efter NIS 2-loven, vil driften blive spurgt, hvordan foranstaltningerne kan vises. Loven siger, hvilke områder foranstaltningerne som minimum skal omfatte, men ikke hvordan de dokumenteres, og derfor må driften selv koble hvert område til udtræk fra systemerne.

Til det kan forordning 2024/2690 bruges som en detaljeret målestok, også for virksomheder, den ikke gælder for. Det er den kobling, artiklen handler om. Selve auditforløbet og ledelsens rolle er et andet emne.

Hvad loven siger, og hvad den ikke siger

NIS 2-loven er lov nr. 434 af 6. maj 2025. Efter § 6, stk. 1, skal væsentlige og vigtige enheder træffe foranstaltninger, der er passende og forholdsmæssige, og som er både tekniske, operationelle og organisatoriske. Foranstaltningerne skal som minimum omfatte de ti områder i nr. 1 til 10. Blandt dem er sikkerhed ved erhvervelse, udvikling og vedligeholdelse, herunder håndtering af sårbarheder (nr. 5), politikker og procedurer til vurdering af effektiviteten (nr. 6), adgangskontrol og forvaltning af aktiver (nr. 9) og multifaktor- eller kontinuerlig autentificering (nr. 10).

Stk. 2 handler om det, der sker bagefter: lever enheden ikke op til kravene, skal den rette op uden unødigt ophold.

Loven nævner hverken konfigurationsgennemgang, et format for bevis eller faste intervaller. Det er vigtigt at holde fast i. Loven kræver foranstaltningerne. Hvordan de vises, er op til enheden.

SAMSIK’s vejledning: skal, bør og kan

Styrelsen for Samfundssikkerhed har udgivet en vejledning om implementering af foranstaltningerne, 1. udgave fra juni 2025. Den skelner præcist mellem tre ord. “Skal” er krav. “Bør” er en anbefaling, og enheden skal kunne forklare tilsynet, hvorfor den ikke er gennemført. “Kan” er et forslag.

For driften er tre steder i vejledningen særligt relevante:

Under § 6, nr. 5, står det som et forslag (kan), at enheden kan etablere, dokumentere, implementere og overvåge konfigurationer, herunder patches og opdateringer, og udføre tests, der kan spænde fra konfigurationsgennemgange til tests af hele net- og informationssikkerheden.
Samme sted anbefaler vejledningen (bør) faste scanninger for sårbarheder, også efter større ændringer og hændelser, med resultaterne skrevet ned. Den gør opmærksom på, at aktiv scanning i produktionsanlæg med OT kan forstyrre driften. Og den anbefaler, at det skrives ned, hvorfor en sårbarhed eventuelt ikke rettes.
Under § 6, nr. 6, er der et krav (skal): enheden vurderer hele tiden, om der er brug for tekniske tests, og fastlægger ud fra en risikovurdering, hvor ofte og hvad der testes.

En konfigurationsgennemgang er altså nævnt som en mulighed, ikke som et krav.

Forordningens bilag som målestok for udtrækket

Gennemførelsesforordning (EU) 2024/2690 gælder som pligt kun for den kreds af digitale udbydere, artikel 1 opregner, herunder cloud, datacentre og administrerede tjenester. Resten af erhvervslivet kan låne bilaget som målestok. Den er nyttig, fordi den er langt mere konkret end loven.

Tabellen er sitets ordning. Den kobler lovens områder til punkter i bilaget og til udtræk, driften kan trække.

Logning · Punkt i bilaget (målestok): 3.2.3: bl.a. ændringer af brugere og rettigheder, privilegeret adgang, adgang til og ændringer af kritiske konfigurations- og backupfiler, standsning af logning · Udtræk, der kan vise det: Logopsætning pr. kilde og eksempler på hændelser af hver type
Konfiguration · Punkt i bilaget (målestok): 6.3: fastlægge, håndhæve og gennemgå sikre konfigurationer · Udtræk, der kan vise det: Den fastlagte standard, udtræk af effektive indstillinger og spor efter seneste gennemgang
Patch og sårbarheder · Punkt i bilaget (målestok): 6.6 og 6.10: patch og sårbarhedsscanning, dokumenteret begrundelse, hvor der ikke rettes · Udtræk, der kan vise det: Opdateringsstatus, scanningsrapporter og undtagelsesliste
Netværk · Punkt i bilaget (målestok): 6.7.2: arkitekturen dokumenteret forståeligt og ajourført, kontrol med fjernadgang · Udtræk, der kan vise det: Netværkstegning med dato, regelsæt og opsætning af fjernadgang
Adgang · Punkt i bilaget (målestok): 11.2 til 11.4: register over rettigheder, gennemgang med planlagte mellemrum, særlige administratorkonti og adskilte administrationssystemer · Udtræk, der kan vise det: Udtræk af grupper og roller, spor efter adgangsgennemgang
Aktiver · Punkt i bilaget (målestok): 12.4: fuldstændig og ajourført fortegnelse med sporbare ændringer · Udtræk, der kan vise det: Systemliste afstemt mod katalog, netværk og cloud

Kolonnen med udtræk er forslag. Forordningen siger, hvad der skal være på plads for de enheder, den gælder. Den siger ikke, hvilket udtræk der viser det.

Sådan bruges tabellen

For en virksomhed under NIS 2-loven kan tabellen bruges til at forberede sig på spørgsmål fra ledelse, revisor eller tilsyn. For hvert område skrives:

Hvilke foranstaltninger der er indført.
Hvilket udtræk der viser dem, med dato.
Hvor I afviger fra bilagets punkt, og hvorfor.

Den tredje kolonne er vigtig, fordi bilaget ikke er et krav for de fleste. En afvigelse fra en målestok er ikke et lovbrud. Men en begrundet afvigelse viser, at foranstaltningen er overvejet. Hvordan det samlede forløb med en NIS2-audit er bygget op, er et andet emne end selve udtrækkene.

Hvad det kræver, og hvad det koster at lade være

Det kræver, at driften går de seks områder igennem og finder ét eller flere udtræk for hvert. Mange af dem findes allerede, men ligger spredt.

Uden koblingen har I foranstaltninger, men intet samlet bevis. Spørger tilsynet, skal beviset findes frem under tidspres, og huller viser sig først dér.

Det skal I lade være med

At skrive, at NIS2 kræver en konfigurationsgennemgang · loven nævner det ikke, og vejledningen nævner det som en mulighed.
At behandle bilaget som en pligt, når I står uden for forordningens kreds · så er det en sammenligning.
At gøre et “bør” i vejledningen til et “skal” · ordene betyder noget forskelligt.

Det skal gennemgangen kunne vise

☐ Et eller flere udtræk pr. område med dato.
☐ Dokumenterede resultater af sårbarhedsscanninger og begrundelse for sårbarheder, der ikke rettes.
☐ En vurdering af behovet for tekniske tests med frekvens og omfang.
☐ Begrundede afvigelser fra de bilagspunkter, der bruges som målestok.

Kilder

Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 13. november 2026.
Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6, nr. 5 og 6, læst 13. november 2026.
Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget, punkt 3.2, 6.3, 6.6, 6.7, 6.10, 11.2 til 11.4 og 12.4, læst 13. november 2026.

Senest gennemgået: november 2026.

Næste skridt

Tag tabellens seks områder, og skriv ud for hvert det udtræk, I kan trække i dag, og det, der mangler.

Læs også: Bevis for et konfigurationsfund · Undtagelseslisten

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

Skal jeres opsætning gennemgås?

Skriv kort, hvilke dele af miljøet det drejer sig om, og hvad der sætter det i gang. Så vender jeg tilbage. Gennemgangen er uvildig og uafhængig, og Nielco IT har ingen forhandleraftaler.