Fra 5. februar 2026 har interne audit-funktioner, der følger IIA’s standarder, et fast minimum for revision af cybersikkerhed. Kravet dækker tre områder, styring, risikostyring og kontrolprocesser, og hvert enkelt krav skal vurderes for relevans, mens udeladelser skal begrundes skriftligt.
For bestyrelse og revisionsudvalg er det nyttigt at kende kravet. Det siger, hvad en intern revision af cybersikkerhed som minimum skal se på, og det giver udvalget et konkret grundlag at spørge ud fra.
Hvad kravet er, og hvem det binder
IIA udstedte Cybersecurity Topical Requirement 5. februar 2025 og satte ikrafttræden til 5. februar 2026. Topical Requirements træder generelt i kraft 12 måneder efter udstedelsen, og IIA anbefaler at tage dem i brug så hurtigt som muligt.
Kravet er obligatorisk for den interne audit-funktion og bruges sammen med Global Internal Audit Standards. Det er en minimumsbaseline. Overensstemmelse er obligatorisk ved assurance-opgaver og anbefalet ved rådgivning.
Det er vigtigt at holde fast i, hvem kravet binder. Det er en faglig standard for funktionen, ikke et lovkrav for virksomheden eller bestyrelsen. En virksomhed uden intern revision er ikke omfattet, og en intern revision, der ikke har forpligtet sig til IIA’s standarder, er heller ikke.
Hvornår kravet udløses
Kravet gælder i tre situationer:
- A · cybersikkerhed er genstand for en opgave i revisionsplanen.
- B · cybersikkerhed bliver identificeret som et emne under en anden opgave.
- C · der kommer en anmodning om en opgave om cybersikkerhed uden for den oprindelige plan.
Situation B er den, der oftest overses. En revision af et ERP-projekt eller en indkøbsproces kan føre ind i adgangsstyring eller leverandørkontrol, og så gælder kravet for den del.
De tre områder
Kravet vurderer design og implementering af styring, risikostyring og kontrolprocesser. Det står ikke i kravet, at effektiviteten skal testes ud over det. Indholdet gengives her med egne ord.
- Styring (A til D) · Strategi og mål for cybersikkerhed, som opdateres og følges af bestyrelsen, også ressourcerne. Politikker og procedurer. Roller og en proces for at vurdere kompetencer. Inddragelse af interessenter om sårbarheder og trusler
- Risikostyring (A til F) · Risikovurdering af trusler og deres betydning for de strategiske mål. Risikostyring på tværs af organisationen. Ansvar og en person eller et team, der jævnligt overvåger og rapporterer. Hurtig eskalering af uacceptable risici. Ledelsens periodiske gennemgang af mangler og rettidig udbedring. Hændelseshåndtering og genopretning, som testes jævnligt
- Kontrolprocesser (A til G) · Interne og leverandørbaserede kontroller, der evalueres jævnligt. Kompetenceudvikling. Løbende overvågning af trusler og sårbarheder. Sikkerhed i hele livscyklussen for IT-aktiver, også hardware, software og leverandørtjenester. Konfiguration, enhedsstyring, kryptering, patchning, brugeradgang, overvågning og sikker udvikling. Netværkskontroller. Sikkerhed i kommunikationstjenester som mail, browser, video, cloud og fildeling
For en koncern er risikostyringens punkt om en person eller et team, der overvåger og rapporterer, særlig interessant. Det er netop rollen, mange koncerner har uklart fordelt mellem koncern-CISO og enhederne.
Udeladelser skal begrundes
Intern revision skal dokumentere, at hvert krav er vurderet for relevans. Udelades et krav, skal begrundelsen dokumenteres og gemmes. Overensstemmelsen vurderes ved funktionens kvalitetsvurderinger.
IIA skriver i sine spørgsmål og svar fra februar 2025, at begrundelserne gennemgås i kvalitetsvurderingen, og at manglende begrundelser kan trække i retning af en konklusion om, at funktionen ikke lever op til standarden. Hvad kvalitetsvurderingen ser efter, står i ekstern kvalitetsvurdering af intern revision.
Kravet og rammeværkerne
Ifølge IIA’s spørgsmål og svar har IIA’s brugervejledning til kravet et bilag, der kobler kravet til NIST CSF 2.0, COBIT 2019 og NIST SP 800-53. Brugervejledningen er ikke gennemgået her. En koncern, der allerede måler efter CSF 2.0, kan spørge sin interne revision, om den bruger koblingen, så de to målinger kan læses sammen.
Hvad revisionsudvalget kan spørge om
Spørgsmålene nedenfor er praksis, ikke krav. De kan bruges, når revisionsplanen eller en rapport om cybersikkerhed lægges frem.
- Følger funktionen kravet · og har den forpligtet sig til IIA’s standarder?
- Hvilke krav er udeladt · og hvad er begrundelsen for hvert?
- Hvor er kravet udløst under andre opgaver · og hvordan er det håndteret?
- Hvordan bruges kravet i en koncern · er det vurderet pr. selskab eller samlet?
Kravet i en koncern
Kravet siger ikke, hvordan det skal bruges i en koncern med mange selskaber. Det følgende er praksis. Revideres cybersikkerheden i ét datterselskab ad gangen, kan funktionen gå kravene igennem for hvert selskab og samle udeladelserne i en oversigt. Revideres et koncernfælles område, fx en fælles driftsplatform, gælder vurderingen for alle de selskaber, der bruger den, og det bør fremgå af rapporten.
Det er også praksis at koble kravene til koncernens egen modenhedsmåling. Mange af kravets punkter, fx ansvar, eskalering, hændelseshåndtering og leverandørkontroller, findes også som områder i en måling. Hvor de to dækker det samme, kan intern revision vurdere, om den kan bygge på målingen efter reglerne for at bygge på andres arbejde, frem for at måle igen. Målingen erstatter dog ikke revisionens egen vurdering af design og implementering.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den interne revision har en skabelon, der går kravene igennem ved hver opgave med cybersikkerhed, og at begrundelser for udeladelser gemmes sammen med opgaven. Det kræver også kompetencer til at vurdere alle tre områder, eventuelt med hjælp udefra.
Uden det kan funktionen ende med at være i strid med sin egen standard, uden at revisionsudvalget ved det. Og udvalget får en rapport om cybersikkerhed uden at vide, hvilke dele af minimum der er fravalgt. Det kan også betyde, at den næste eksterne kvalitetsvurdering af funktionen finder mangler, som udvalget burde have hørt om tidligere.
Det skal I lade være med
- At skrive, at kravet er lovpligtigt · det binder funktionen, ikke virksomheden.
- At udelade krav uden skriftlig begrundelse · begrundelsen indgår i kvalitetsvurderingen.
- At læse kravet som en test af effektivitet · det vurderer design og implementering.
Det skal gennemgangen kunne vise
- ☐ En vurdering af hvert krav for relevans i opgaver med cybersikkerhed.
- ☐ Dokumenterede begrundelser for udeladte krav.
- ☐ Hvilke opgaver der har udløst kravet efter situation A, B eller C.
- ☐ At revisionsudvalget er orienteret om udeladelserne.
Kilder
- IIA, Cybersecurity Topical Requirement, februar 2025, læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement (side med udstedelse og ikrafttræden), læst 14. november 2026.
- IIA, Cybersecurity Topical Requirement Questions and Answers, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed revisionschefen om en oversigt over de krav, funktionen har udeladt, og begrundelsen for hvert.
Læs også: NIST CSF 2.0 som måleramme · Uklart ansvar mellem koncern-CISO og enhederne
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
