Får I en NIS2-erklæring fra en leverandør, er den sandsynligvis lavet efter en skabelon, som revisorernes brancheorganisation har udgivet til erklæringer efter ISAE 3000. Skabelonens eksempler på kontroller er vejledende, så det, der faktisk er testet, afhænger af den konkrete erklæring, og det er den, I skal læse.
Artiklen bygger på det, revisorerne har offentliggjort om skabelonen. Selve skabelonen er ikke gennemgået her, og vi kan derfor ikke sige, hvilke kontroller den indeholder, om den bruges med høj eller begrænset grad af sikkerhed, eller om den er til type 1 eller type 2. De tre spørgsmål må I stille til den erklæring, I modtager.
Det, der er offentliggjort
Revisorernes forening, FSR danske revisorer, lagde en faglig artikel om den opdaterede skabelon ud på sin hjemmeside med datoen 10. december 2025. Artiklen er læst igen på skrivedagen. Den fortæller følgende.
Foreningens udvalg for cybersikkerhed har opdateret skabelonen ud fra erfaringerne siden første udgave. Ændringen har givet færre og tydeligere kontrolaktiviteter, og sammenhængen til Styrelsen for Samfundssikkerheds vejledning om implementering af foranstaltningerne er blevet klarere.
Begrundelsen er forsyningskæden. NIS 2-reglerne om sikkerhed i forsyningskæden gør det relevant med et fælles udgangspunkt mellem de virksomheder, der er omfattet, og deres direkte leverandører og tjenesteudbydere. Foreningen nævner som formål et bedre grundlag for at følge op på direkte leverandørers foranstaltninger og rapportering.
Eksemplerne på kontrolaktiviteter og revisionshandlinger er fortsat vejledende. De skal tilpasses den konkrete risikovurdering, de foranstaltninger, parterne har aftalt, og revisors faglige vurdering. Ved igangværende opgaver kan de tidligere eksempler stadig bruges.
Revisors erklæring henviser nu udtrykkeligt til NIS 2-loven. Artiklen slutter med en bemærkning om, at materialet er udarbejdet til brug for de godkendte revisorer og ikke må anvendes af andre.
Siden henviser til download af skabelonen på dansk og engelsk. Indholdet er ikke læst til denne artikel.
Hvad det betyder for jer som modtager
Den vigtigste oplysning for en køber er, at skabelonen er en ramme. Revisor og leverandør vælger, hvilke kontroller der er med, ud fra leverandørens risikovurdering og det, der er aftalt med kunderne. To NIS2-erklæringer fra to leverandører kan derfor dække forskellige ting, selv om de bygger på samme skabelon. Den konklusion er vores tolkning af foreningens tekst.
Det betyder også, at en NIS2-erklæring ikke siger noget om jeres særlige krav, medmindre de er aftalt og taget med. Har I stillet krav i et sikkerhedsbilag, må I selv finde ud af, om erklæringen dækker dem.
Endelig er det værd at huske, at NIS 2-reglerne ikke kræver en erklæring. Styrelsen for Samfundssikkerhed har i sin vejledning om, hvem loven omfatter, gjort det klart, at et krav om særlig certificering eller revisorerklæring over for leverandørerne ikke er en nødvendig del af at overholde den. En NIS2-erklæring er et redskab, leverandøren kan vælge at tilbyde.
Spørgsmålene til erklæringen
Fordi skabelonens indhold ikke er kendt her, er spørgsmålene nedenfor generelle. De er de samme, I ville stille til enhver erklæring efter ISAE 3000, med tilføjelser for NIS 2.
Hvilken grad af sikkerhed? Står der høj eller begrænset grad af sikkerhed? ISAE 3000 tillader begge, og graden afgør, hvor stærk revisors udtalelse er. Står graden ikke tydeligt, så spørg leverandøren.
Dato eller periode? Udtaler erklæringen sig om kontrollernes udformning på én dag, eller er de testet over en periode?
Hvilke kontroller er med? Find listen over kontrolaktiviteter, og læg den ved siden af de krav, I har stillet til leverandøren. Hvilke af jeres krav har ingen kontrol i erklæringen?
Hvilke foranstaltninger? Hvilke af NIS 2-lovens foranstaltninger har kontroller i erklæringen? Vejledningen fra Styrelsen for Samfundssikkerhed dækker mange områder, og en erklæring med færre kontroller kan have udeladt nogle af dem.
Hvilke ydelser og lokationer? Står den ydelse, I køber, i beskrivelsen? Er underleverandører udeladt?
Afvigelser? Er der afvigelser i testene, og hvad har leverandøren gjort ved dem?
De generelle teknikker til at læse en erklæring står i sådan læser I erklæringen, og valget mellem erklæringstyper i ISAE 3000 eller ISAE 3402.
Hvis I selv er omfattet
Er jeres virksomhed omfattet af NIS 2, er leverandørens erklæring ét bevis i jeres egen styring af forsyningskæden. Den kan ikke stå i stedet for jeres vurdering af leverandøren. Hvor meget den kan bære, afhænger af, om den dækker de kontroller, jeres risiko hviler på. Beslutningen er beskrevet i kan erklæringen erstatte jeres egen audit.
Hvad det kræver, og hvad det koster at lade være
Arbejdet forudsætter en liste over de krav, I har stillet til leverandøren, og at erklæringens kontroller bliver læst mod den. Uden listen er der intet at måle erklæringen imod.
Tager I en NIS2-erklæring for givet, fordi den nævner loven, kan I overse, at netop de kontroller, I er afhængige af, er tilpasset væk eller testet med begrænset grad af sikkerhed.
Det skal I lade være med
- At læse ordet NIS 2 på forsiden som dækning af alle lovens krav · kontrollerne er tilpasset.
- At gå ud fra en bestemt grad af sikkerhed · læs, hvad der står i den konkrete erklæring.
- At kræve en NIS2-erklæring med henvisning til loven · loven kræver den ikke.
Det skal auditten kunne vise
- ☐ Erklæringens grad af sikkerhed, type og periode.
- ☐ En liste over erklæringens kontroller holdt op mod jeres krav til leverandøren.
- ☐ De krav og foranstaltninger, erklæringen ikke dækker, og jeres opfølgning.
- ☐ Afvigelser og leverandørens svar på dem.
Kilder
- FSR danske revisorer, Opdateret ISAE 3000-template til NIS 2-erklæringer, 10. december 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find graden af sikkerhed og listen over kontroller i den NIS2-erklæring, I har modtaget, og læg dem ved siden af jeres krav.
Læs også: Komplementære brugerkontroller · Sikkerhedsbilaget som auditgrundlag
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
