Det første, en koncernvurdering beder om, er det materiale, der viser, hvordan sikkerheden er styret: politikker, roller, risikovurdering, rapportering til ledelsen, oversigt over aktiver og adgange og planer for kontinuitet. I en koncern skal materialet komme fra to niveauer, fra koncernen og fra hvert selskab, og det er netop forskellen mellem de to, der fortæller mest.
Ingen regel fastsætter en dokumentliste. Listen her er sitets opdeling og bygger på de krav, der findes i regelsæt for sikkerhedsstyring, brugt som målestok.
Hvorfor dokumenterne kommer først
Dokumenterne giver vurderingen sit første billede, før interviewene begynder. De viser, hvad koncernen har besluttet, hvem der har ansvaret, og hvordan ledelsen får besked. Lige så vigtigt er det, at de viser, hvad der mangler. Et selskab, der ikke kan finde sin risikovurdering, har sagt noget væsentligt allerede inden første møde.
I en koncern har dokumentanmodningen en ekstra funktion. Den viser, om selskaberne bruger koncernens skabeloner, eller om de har deres egne, og om de lokale dokumenter henviser til koncernens politik eller lever deres eget liv.
Kravene som spejl
Bilaget til gennemførelsesforordning 2024/2690 indeholder krav, der kan bruges som spejl for, hvad en vurdering typisk beder om. Forordningen gælder kun en snæver kreds af digitale tjenester; for alle andre er den en målestok. Blandt kravene er:
- Roller og ansvar for sikkerheden, fastlagt og meddelt ledelsesorganerne (punkt 1.2).
- En ramme for risikostyring med en risikovurdering (punkt 2.1).
- Rapportering om overholdelse til ledelsesorganerne (punkt 2.2).
- Et register over tildelte adgangsrettigheder (punkt 11.2.2).
- En fortegnelse over aktiver (punkt 12.4).
- Kontinuitetsplaner og resultater af test (punkt 4.1.4).
SAMSIK’s vejledning til NIS 2-loven siger i kapitel 6.a, at dokumentationen for vurderingen af foranstaltningernes effektivitet bør ajourføres med planlagte intervaller. Vejledningen er myndighedens fortolkning, og “bør” er en anbefaling.
Koncernmateriale
Det materiale, der bedes om fra koncernen, beskriver rammen. Opdelingen er sitets.
- Koncernens sikkerhedspolitik · Hvad selskaberne er forpligtet til
- Organisationsdiagram for sikkerhed · Hvem der har ansvaret centralt og lokalt
- Koncernens risikovurdering · De risici, koncernen prioriterer
- Seneste rapportering til bestyrelse · Hvad ledelsen får at vide
- Koncernoversigt · Selskaber, ejerforhold og fælles tjenester
- Minimumskrav og dispensationer · Hvad der gælder overalt, og hvem der er fritaget
- Rapporter fra andre gennemgange · Revisor, intern revision, certificering, tilsyn
Materiale pr. selskab
Fra hvert selskab bedes om det, der viser, hvordan rammen er ført ud i livet.
- Lokal ansvarsfordeling · Hvem der gør hvad i selskabet
- Lokal risikovurdering · Om selskabet har vurderet sine egne risici
- Oversigt over systemer og aktiver · Hvad selskabet har og ejer
- Oversigt over leverandører · Hvem der driver hvad
- Seneste gennemgang af adgange · Om rettigheder bliver gennemgået
- Kontinuitetsplan og seneste test · Om planen findes, og om den er prøvet
- Hændelseslog · Hvad der er sket, og hvad der blev meldt videre
Hvad forskellen fortæller
Den mest nyttige analyse er ofte at lægge de to niveauer ved siden af hinanden. Henviser den lokale risikovurdering til koncernens kategorier? Står de lokale hændelser i koncernens rapportering? Findes de dispensationer, koncernen har givet, også i selskabets egne papirer?
Det er sitets vurdering, at uoverensstemmelser mellem koncernmateriale og selskabsmateriale er blandt de mest pålidelige tegn på, hvor afstanden mellem politik og praksis er størst. Hvordan den afstand måles, er beskrevet i koncernpolitik og lokal praksis.
Rækkefølgen i anmodningen
Det er praksis at bede om koncernmaterialet først og vente et par uger med selskabsmaterialet. Så kan vurderingen læse koncernens politik og minimumskrav, før den ser, hvordan selskaberne har fulgt dem, og den kan stille mere præcise spørgsmål i anmodningen til selskaberne. Et selskab, der får en anmodning, som henviser til koncernens egne krav, svarer ofte mere præcist end et, der får en generisk liste.
For opkøbte selskaber, der endnu ikke er integreret, er det praksis at sende en kortere anmodning, der først og fremmest skal vise, hvad selskabet har, og hvem der ejer det. En fuld anmodning efter koncernens skabelon giver sjældent mening, før selskabet kender skabelonen.
Sådan samler koncernen materialet
En gængs praksis er at oprette ét fælles sted, hvor alle selskaber lægger deres dokumenter i samme struktur. Det sparer tid og gør det synligt, hvem der mangler. Det er også praksis at bede selskaberne markere, hvis et dokument ikke findes, i stedet for at lade feltet stå tomt. En markering er et svar. Et tomt felt er det ikke.
IIA’s revisionsstandarder fra 2024 giver i vejledningen til standard 9.4 eksempler på, hvordan en plan dokumenteres: med godkendelse, dokumenteret risikovurdering og mødereferater. Eksemplet passer også her. Et dokument, der er godkendt og dateret, er bedre bevis end et udkast uden ejer.
Hvordan materialet bedes om ved en almindelig audit af ét selskab, kan I læse om hos den almene auditmetode, og hvilket teknisk bevis der kan bedes om, står under tekniske kontrolpunkter. Leverandørernes egne erklæringer hører til leverandørkontrollen.
Når et dokument ikke findes
Et manglende dokument er ikke nødvendigvis et tegn på, at kontrollen mangler. Nogle selskaber gør det rigtige uden at have skrevet det ned. Det er derfor praksis at notere manglen og spørge til den i interviewet frem for at score området lavt med det samme. Viser interviewet, at kontrollen udføres, er fundet, at dokumentationen mangler. Viser det, at kontrollen heller ikke udføres, er fundet større.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at en kontaktperson i hvert selskab samler materialet, og at koncernen har et sted at lægge det. Første gang tager det tid, fordi mange dokumenter skal findes. Gentages vurderingen, bliver det meste genbrugt.
Uden en forberedt dokumentanmodning går vurderingens første uger med at lede efter papirer, og den analyse, der sammenligner koncern og selskab, bliver aldrig lavet.
Det skal I lade være med
- At sende koncernens dokumenter som svar for alle selskaber · det lokale billede forsvinder.
- At lade tomme felter stå uden markering · så ved ingen, om dokumentet mangler eller er glemt.
- At sende udkast uden dato og ejer · de siger mindre end et godkendt dokument.
Det skal gennemgangen kunne vise
- ☐ En samlet liste over modtaget materiale fra koncern og hvert selskab.
- ☐ En markering af dokumenter, der ikke findes.
- ☐ En sammenligning af lokale dokumenter med koncernens politik og kategorier.
- ☐ Dato og ejer på de centrale dokumenter.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 1.2, 2.1, 2.2, 4.1.4, 11.2.2 og 12.4, læst 14. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, juni 2025, kapitel 6.a, læst 14. november 2026.
- IIA, Global Internal Audit Standards, januar 2024, standard 9.4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Opret ét fælles sted med samme mappestruktur for alle selskaber, og bed dem markere de dokumenter, de ikke har.
Læs også: Koncernens baseline · Afgrænsning af en koncernvurdering
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
