Der findes intet fast interval for tekniske gennemgange, som gælder alle virksomheder. De fleste regler siger “med planlagte mellemrum” og ved væsentlige ændringer eller hændelser, og de få tal, der findes, gælder bestemte kontrolpunkter hos bestemte typer af virksomheder.
For driften betyder det, at kalenderen skal bygges af to ting: et interval, I selv fastsætter og kan begrunde, og en liste over de ændringer, der gør den forrige gennemgang forældet.
Forordningens formulering
Forordning (EU) 2024/2690 omfatter kun visse digitale tjenesteudbydere, bl.a. dem, der leverer cloud, datacentre og administrerede tjenester. Andre kan låne bilaget som målestok.
Efter punkt 6.3.3 gennemgås og ajourføres konfigurationer “med planlagte mellemrum” og desuden ved væsentlige hændelser eller ændringer. Samme mønster går igen for den uafhængige gennemgang (2.3.4), overvågningen af overholdelse (2.2.3) og netsikkerheden (6.7.3). Forordningen sætter ikke et tal på.
NIS 2-loven og SAMSIK’s vejledning
NIS 2-loven gælder væsentlige og vigtige enheder i Danmark. § 6 kræver passende og forholdsmæssige foranstaltninger, men loven nævner hverken konfigurationsgennemgang eller et interval.
Styrelsen for Samfundssikkerhed skriver i sin vejledning fra juni 2025, at enheden løbende skal vurdere behovet for tekniske tests, og at enheden ud fra en risikovurdering skal definere behov, frekvens og hvilke komponenter der testes. Vejledningen anbefaler også, at der scannes for sårbarheder med faste mellemrum og desuden efter større ændringer og hændelser. Vejledningen er myndighedens fortolkning af loven, og dens “bør” er en anbefaling. Frekvensen er altså jeres egen beslutning, men den skal bygge på en vurdering, I kan vise frem.
De steder, hvor der står et tal
Nogle kilder har faste intervaller. De gælder kun dem, kilden gælder for, og kun de kontrolpunkter, der er nævnt.
- Statens tekniske minimumskrav, krav 28 · Gælder for: Statslige myndigheder · Kontrolpunkt: Portscanning af internettilgængelige adresser · Interval: Mindst en gang i kvartalet
- Statens tekniske minimumskrav, krav 12 · Gælder for: Statslige myndigheder · Kontrolpunkt: Tjek af adgangskoder mod lækkede lister · Interval: Mindst én gang om måneden
- Delegeret forordning 2024/1774, art. 10 · Gælder for: Finansielle enheder under DORA · Kontrolpunkt: Automatiseret sårbarhedsscanning af aktiver for kritiske eller vigtige funktioner · Interval: Mindst en gang om ugen
- Delegeret forordning 2024/1774, art. 13 · Gælder for: Samme · Kontrolpunkt: Efterprøvning af firewallregler for systemer med kritiske eller vigtige funktioner · Interval: Mindst hver sjette måned
- Delegeret forordning 2024/1774, art. 13 · Gælder for: Samme · Kontrolpunkt: Gennemgang af netarkitektur · Interval: En gang om året
- Delegeret forordning 2024/1774, art. 21 · Gælder for: Samme · Kontrolpunkt: Ajourføring af adgangsrettigheder for systemer med kritiske eller vigtige funktioner · Interval: Mindst hver sjette måned
- DORA, art. 24, stk. 6 · Gælder for: Finansielle enheder, der ikke er mikrovirksomheder · Kontrolpunkt: Test af systemer, der understøtter kritiske eller vigtige funktioner · Interval: Mindst én gang om året
Kravene til staten står i kravoversigten fra juni 2024 og i vejledningen fra september 2025. DORA-intervallerne i den delegerede forordnings afsnit II gælder efter vores læsning af opbygningen ikke de mindre finansielle enheder, der bruger den forenklede ramme. Det er en tolkning.
Cyber Essentials, den britiske ordning, har en frist på 14 dage for visse opdateringer, men intet interval for gennemgang.
Tallene er ikke en anbefaling til alle
Det er fristende at låne et tal. Men et kvartal for portscanning blev fastsat til statens internetvendte adresser, og et halvt år for firewallregler blev fastsat til finansielle systemer med kritiske funktioner. Bruger I dem, skal I kunne begrunde, hvorfor de passer til jeres miljø.
Tallene kan stadig være nyttige som sammenligning. Har I ingen fast rytme for at efterse firewallreglerne, giver DORA’s halve år et konkret billede af, hvad en reguleret sektor har fundet rimeligt.
Ændringer, der gør den forrige gennemgang forældet
NIST kalder en vurdering et øjebliksbillede og nævner, at den kan placeres efter en større opgradering. Forordningen nævner væsentlige ændringer og hændelser. Omsat til driftens kalender er det almindelig praksis at udløse en ny gennemgang af den berørte del ved:
- et nyt system, før det sættes i drift
- en flytning til skyen eller mellem cloud-platforme
- et opkøb eller en sammenlægning, før net og kataloger forbindes
- et skifte af IT-leverandør
- en sikkerhedshændelse
- en ny firewall, en ny lejer eller et nyt katalog
- en større opgradering af styresystemer eller platforme
Gennemgangen behøver ikke at omfatte hele miljøet. Den kan afgrænses til det lag, ændringen rammer. Efter en flytning til skyen er det lejeren og identiteten, der skal ses på. Efter en ny firewall er det regelsættet og de administrationsflader, der følger med udstyret.
Et interval, I selv kan begrunde
Ud over ændringerne har de fleste brug for en fast rytme, så opsætningen bliver set, selv når intet stort sker. Skriv intervallet ned med en begrundelse: hvor hurtigt ændrer jeres miljø sig, hvor meget er eksponeret, og hvad har den forrige gennemgang vist? Et miljø med mange ændringer og mange fund kan have brug for en kortere rytme end et stabilt miljø.
Hvordan intervallet for en audit af hele sikkerhedsarbejdet fastsættes, er beskrevet under hyppigheden af en sikkerhedsaudit.
Løbende kontrol mellem gennemgangene
Mange kontrolpunkter kan driften selv måle løbende: opdateringsniveau, konti uden login, nye regler i firewallen, ændringer i lejeren. NIST nævner, at løbende overvågning i nogle tilfælde kan gøre en periodisk test overflødig. Jo mere driften måler løbende, jo mere kan den periodiske gennemgang koncentrere sig om det, der kræver læsning i sammenhæng.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skrevet rytme med begrundelse og en aftale med ændringsstyringen om, hvilke ændringer der udløser en gennemgang.
Uden den bliver gennemgangen en engangsforestilling. Rapporten bliver ældre for hver ændring, og ingen ved, hvornår den holdt op med at beskrive miljøet. Når nogen så spørger, hvornår opsætningen sidst blev set efter, er svaret en dato, der ligger flere ændringer tilbage.
Det skal I lade være med
- At låne statens eller DORA’s intervaller uden begrundelse · de er skrevet til bestemte enheder og kontrolpunkter.
- At skrive “NIS2 kræver” et bestemt interval · forordningen bruger planlagte mellemrum.
- At gennemgå hele miljøet ved hver ændring · afgræns til det berørte lag.
Det skal gennemgangen kunne vise
- ☐ Et fastsat interval pr. lag med begrundelse.
- ☐ En liste over ændringer, der udløser en ny gennemgang.
- ☐ Dato for seneste gennemgang af hvert lag.
- ☐ For regulerede enheder: de intervaller, der gælder netop jer, med kilde.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 2.2.3, 2.3.4, 6.3.3 og 6.7.3, læst 13. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, § 6 nr. 5 og nr. 6, afsnit B, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2 og 3.9, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder, kravoversigt juni 2024, krav 12 og 28, læst 13. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 16 og 24, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 10, 13 og 21, læst 13. november 2026.
- NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, april 2026, opdateringsstyring, læst 13. november 2026.
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres egen rytme pr. lag ned med en begrundelse, og aftal med ændringsstyringen, hvilke ændringer der udløser en gennemgang.
Læs også: Fra engangsgennemgang til løbende kontrol af opsætningen · Konfigurationsstyring efter punkt 6.3
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
