En koncernvurdering kan godt gennemføres, selv om ingen har den samlede liste over systemer, udstyr og data. Vurderingen bygger så sit billede ud fra flere ufuldstændige kilder, afgrænser sig med tydelige forbehold, og manglen på en oversigt bliver selv et af de vigtigste fund i rapporten.
Det er en almindelig situation i koncerner, hvor selskaber er kommet til over tid, og hvor hvert selskab har sin egen måde at holde styr på sine aktiver.
Hvorfor oversigten mangler i koncerner
I et enkelt selskab er en aktivoversigt et overskueligt projekt. I en koncern er den sjældent samlet ét sted. Hvert selskab har sin egen liste, bygget i sit eget format og med sit eget begreb om, hvad et aktiv er. Opkøbte selskaber har deres egne systemer for registrering, og fælles tjenester har deres egen. Nogle lister dækker servere, andre dækker licenser, og få dækker både udstyr, systemer, data og de tjenester, leverandørerne leverer.
Resultatet er, at ingen kan svare præcist på, hvad koncernen har. Det er i sig selv en risiko, fordi en kontrol, der skal dække alle aktiver, ikke kan vurderes, når ingen ved, hvad “alle” er.
Hvad reglerne og målestokkene siger
NIS 2-loven nævner i § 6, stk. 1, nr. 9, forvaltning af aktiver som en af de foranstaltninger, en omfattet enhed som minimum skal have. Det gælder enheder, der er omfattet af loven.
Bilaget til gennemførelsesforordning 2024/2690 går længere. Efter punkt 12.4.1 skal fortegnelsen over aktiver være fuldstændig og nøjagtig, holdes ajour og føres konsekvent. Punkt 3.2.3 lader listen over aktiver, der skal være omfattet af logning, bygge på risikovurderingen. Kun udbydere af de digitale tjenester i forordningens første artikel er bundet, men bilaget viser, hvor meget andre kontroller hviler på oversigten.
I finanssektoren skal virksomhederne efter DORA artikel 8, stk. 1, kende og dokumentere deres informations- og IKT-aktiver og de afhængigheder, der er imellem dem. Andre brancher er ikke omfattet.
Sådan gennemføres vurderingen alligevel
Det er praksis at bygge et arbejdsbillede ud fra flere kilder, som hver for sig er ufuldstændige. Typiske kilder er selskabernes lokale lister, licensoversigter, oversigter fra leverandører, konfigurationsdata fra fælles tjenester og fakturaer for IT-ydelser. Ingen af dem er komplet, men lagt sammen viser de omtrent, hvad der findes, og hvor listerne modsiger hinanden.
Det er også praksis at lave stikprøver i begge retninger. Fra listen ud: findes det, der står på listen, og har det en ejer? Fra virkeligheden ind: står det, der findes i et selskab, på nogen liste? Den anden retning er den vigtigste, fordi den finder det, ingen har registreret. Tekniske metoder til at finde uregistrerede aktiver er beskrevet under tekniske kontrolpunkter.
Afgrænsning med forbehold
Når oversigten mangler, må afgrænsningen tage forbehold. Det er sitets anbefaling at skrive i rapporten, hvilke kilder billedet bygger på, hvor stor en del af selskaberne der har en lokal liste, og hvilke dele af koncernen der må antages at være ufuldstændigt dækket.
Forbeholdet påvirker også scoren. Kontroller, der forudsætter en oversigt, fx adgangsgennemgang, logning og sårbarhedsstyring, kan kun vurderes for de aktiver, man kender. En høj score for de kendte aktiver siger intet om de ukendte. Det bør stå ved scoren.
Manglen som fund
Manglen på en samlet oversigt bør stå som et selvstændigt fund og have samme vægt som de øvrige, også selv om den samtidig er et forbehold. Fundet bør beskrive, hvad der mangler, hvilke kontroller det svækker, og hvilke beslutninger der skal til for at lukke det: et fælles begreb om aktiver, et fælles format, en ejer på koncernniveau og en plan for, hvordan selskabernes lister samles.
Det er sitets vurdering, at fundet ofte er det mest værdifulde i en første koncernvurdering, fordi det forklarer mange af de øvrige fund. Uden oversigt kan adgange ikke gennemgås fuldt, sårbarheder ikke styres fuldt og overvågningen ikke dække fuldt. Sammenhængen er uddybet i overvågning med huller.
Et tænkt eksempel
Tænk jer en koncern med otte selskaber. Fem har en lokal liste, to har en licensoversigt, og ét har intet. Den fælles driftsorganisation har konfigurationsdata for de systemer, den driver, men ikke for dem, selskaberne selv har købt. Vurderingen lægger kilderne sammen og finder systemer, der står på flere lister med forskellige ejere, og systemer, der kun findes i en faktura. Rapporten konkluderer, at scoren for adgang og logning gælder de kendte aktiver, og at en fælles oversigt er forudsætningen for, at næste måling kan sige mere. Eksemplet er tænkt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at vurderingen bruger tid på at sammenstille kilder, og at rapporten er ærlig om, hvad billedet bygger på. Det kræver også, at ledelsen accepterer en rapport, hvor et af de vigtigste fund handler om grundlaget for målingen.
Lader man være, og gennemføres vurderingen som om oversigten fandtes, får bestyrelsen scorer, der ser fuldstændige ud, men som kun dækker det, nogen huskede at nævne.
Det skal I lade være med
- At vente med vurderingen, til oversigten er færdig · den bliver det sjældent af sig selv.
- At vise scoren for adgang og logning uden forbehold · den gælder kun kendte aktiver.
- At rapportere manglen som en fodnote · den forklarer mange af de øvrige fund.
Det skal gennemgangen kunne vise
- ☐ En liste over de kilder, aktivbilledet bygger på.
- ☐ Stikprøver i begge retninger med resultat.
- ☐ Et forbehold ved de scorer, der forudsætter en oversigt.
- ☐ Et fund med ejer og beslutninger, der lukker manglen.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 9, læst 14. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 3.2.3 og 12.4.1, læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 8, stk. 1, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed hvert selskab sende den liste, det har, i det format, det har, og læg dem ved siden af hinanden.
Læs også: Skygge-IT i forretningsenhederne · Dokumentanmodningen til en koncernvurdering
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
