Pentest vs. sårbarhedsscanning er et af de vigtigste skel i moderne cybersikkerhed. Mange virksomheder siger, at de “får lavet sikkerhedstest”, når de i virkeligheden mener, at de kører en sårbarhedsscanner. Det er ikke det samme som en pentest.

Begge dele har værdi. Men de løser forskellige problemer. Hvis du blander dem sammen, risikerer du at tro, at du er bedre dækket, end du faktisk er.

Pentest vs sårbarhedsscanning: Hvad er forskellen?

• Sårbarhedsscanning finder potentielle svagheder.
• Pentest vurderer, om de svagheder faktisk kan udnyttes i praksis.

Scanneren fortæller dig ofte, at noget kan være et problem. En pentest viser, hvad en angriber kan gøre med det.

Hvad er en sårbarhedsscanning?

En sårbarhedsscanning matcher jeres systemer mod kendte sårbarheder og fejlkonfigurationer. Den giver typisk en liste over fund, ofte sorteret efter alvorlighed eller CVSS-score.

Det er godt til hygiene, patching og løbende overblik. Men den ved ikke nødvendigvis:

• om en sårbarhed reelt kan udnyttes i jeres miljø
• om flere svagheder kan kædes sammen
• om en angriber kan bevæge sig videre til noget mere kritisk

Hvad er en pentest?

En pentest går videre end scanning. Her forsøger man aktivt at validere angrebsveje og bevise, om fund faktisk kan udnyttes.

Det betyder, at I ikke bare får en lang liste med teoretiske problemer. I får et billede af, hvilke fund der faktisk øger risikoen for kompromittering.

Det er også derfor, vi ofte siger, at en pentest er mere egnet, når du vil teste effektiviteten af sikkerheden – ikke bare tælle fund.

Hvorfor er forskellen vigtig?

Fordi mange teams drukner i scanneresultater. De har hundredvis eller tusindvis af fund, men ved ikke, hvor de skal starte.

En pentest hjælper med prioritering, fordi den viser:

• hvad der faktisk kan udnyttes
• hvad der er mest kritisk
• hvilke forhold der giver reel forretningsrisiko

Det er især vigtigt i miljøer med Active Directory, hybrid infrastruktur, cloud og mange identiteter, hvor angreb ofte sker gennem kæder af mindre fejl.

Hvornår er scanning nok – og hvornår er det ikke?

Sårbarhedsscanning er god baseline. Den bør de fleste have kørende løbende.

Men scanning alene er sjældent nok, hvis I:

• skal dokumentere sikkerhed over for ledelse, audit eller NIS2
• vil vide om jeres kontroller faktisk virker
• har brug for at prioritere remediation efter reel risiko
• har et miljø, der ændrer sig ofte

Her giver en pentest – eller endnu bedre en model med løbende validering – langt mere mening.

Hvad betyder det i praksis?

Den bedste model er sjældent “enten eller”. For mange virksomheder er den rigtige tilgang:

• løbende scanning for hygiene og bred dækning
• pentest for validering og prioritering
• retest efter remediation for at bevise, at fixet virker

Hvis du vil se, hvordan det fungerer i praksis, kan du læse vores artikel om NodeZero pentest i praksis eller vores guide til kontinuerlig penetrationstest.

Hvis du vil forstå standardterminologien bag sårbarhedsarbejde, kan du også se CVE-programmet hos CVE.

Konklusion

Sårbarhedsscanning finder meget. En pentest fortæller, hvad der betyder noget.

Hvis I kun scanner, har I stadig ikke nødvendigvis svar på, om en angriber kan komme ind, bevæge sig lateralt eller kompromittere noget kritisk. Hvis I kun pentester én gang om året, har I stadig store blinde perioder mellem testene.

Vil du have hjælp til at vurdere, hvad der giver mening i jeres miljø, kan du booke en kort NodeZero-gennemgang eller starte med at læse vores artikel om IT sikkerhedstest.

The post Pentest vs sårbarhedsscanning: Hvad er forskellen? appeared first on Opiniosec.

Intern vs ekstern pentest er et af de første valg, virksomheder står med, når de vil teste deres sikkerhed seriøst. Når virksomheder bestiller pentest, kommer spørgsmålet derfor hurtigt: Skal vi vælge en intern eller ekstern pentest?

Valget mellem intern vs ekstern pentest afhænger af, hvilken risiko I vil teste først.

Det korte svar er, at det afhænger af, hvilken risiko du vil teste først. Det længere svar er, at de to typer pentest afdækker forskellige dele af angrebsfladen – og ofte bør ses som komplementære snarere end konkurrerende.

Intern vs ekstern pentest: Hvad er forskellen?

Hvad er en ekstern pentest?

En ekstern pentest simulerer en angriber, der starter udefra internettet. Fokus er typisk på:

• offentligt eksponerede systemer og services
• webapplikationer, VPN, firewalls og fjernadgang
• fejlkonfigurationer, gamle services og eksponeret infrastruktur

Det er en god måde at teste, hvad en angriber kan se og ramme uden at have fodfæste i jeres miljø.

Hvad er en intern pentest?

En intern pentest simulerer derimod en angriber, som allerede har fået et første foothold – for eksempel via phishing, kompromitterede credentials eller en leverandørforbindelse.

Her tester man typisk:

• Active Directory og identiteter
• laterale bevægelser mellem systemer
• privilege escalation
• misconfigurations, for brede rettigheder og svage adgangskontroller

For mange virksomheder er det her, de største overraskelser ligger. Ikke fordi perimeteren er dårlig, men fordi angriberen efter første adgang ofte kan bevæge sig længere, end man tror.

Hvad finder de hver især?

Ekstern pentest er god til at svare på: Kan nogen komme ind udefra?

Intern pentest er god til at svare på: Hvad sker der, hvis nogen allerede er inde?

Begge spørgsmål er relevante. Men hvis dit miljø er moderne, hybridt og bruger cloud, MFA, identiteter og tredjepartsadgang, er det ofte det interne scenarie, der bliver mest forretningskritisk.

Hvad bør man starte med?

Hvis I er tidligt i jeres sikkerhedsarbejde, kan en ekstern pentest være et naturligt sted at starte. Den afdækker åbenlyse eksponeringer og er nem at forstå for både IT og ledelse.

Men hvis I allerede har en rimelig perimeter, eller hvis jeres største risiko handler om identiteter, AD, cloud og privilegier, så vil en intern pentest ofte give mere værdi.

Det gælder især, hvis I arbejder med NIS2, hvor det ikke er nok at have “lukket perimeteren”, hvis en angriber stadig kan bevæge sig frit internt efter første adgang.

Hvor passer NodeZero ind?

NodeZero er særligt stærk i scenarier, hvor man vil teste realistiske angrebsveje internt og på tværs af miljøet. I stedet for kun at identificere enkelte fund viser platformen, hvordan svagheder kan kædes sammen til reelle angrebsstier.

Det gør det lettere at dokumentere risiko, prioritere remediation og reteste efter fix.

Hvis du vil se, hvordan det ser ud i praksis, kan du læse NodeZero i praksis eller vores side om automatiseret penetrationstest.

Skal man vælge intern eller ekstern pentest?

Det ærlige svar er ofte: begge. Men ikke nødvendigvis samtidigt.

• Vælg ekstern, hvis I vil teste interneteksponering og perimeter.
• Vælg intern, hvis I vil forstå konsekvensen af et kompromitteret endpoint eller en kompromitteret konto.
• Vælg en model med løbende validering, hvis I vil reducere blinde perioder mellem testene.

Vil du se et bredere overblik over anbefalinger til angrebsflader og identitetsbeskyttelse, kan du også følge guidance fra CISA.

Konklusion

Ekstern pentest viser, om nogen kan komme ind. Intern pentest viser, hvor galt det kan gå, når de først er inde.

Hvis du er i tvivl om, hvor I får mest værdi først, giver det ofte mening at tage udgangspunkt i jeres vigtigste aktiver, jeres identitetssetup og jeres ændringstempo.

Vil du have hjælp til at vælge rigtigt, kan du booke en kort demo og få en konkret vurdering af, hvordan NodeZero passer ind i jeres miljø.

The post Intern vs ekstern pentest: Hvad skal din virksomhed vælge? appeared first on Opiniosec.

Hvad er en pentest? Det spørgsmål stiller mange virksomheder, når NIS2, ISO 27001 eller interne sikkerhedskrav gør penetrationstest relevant. Mange ved, at en pentest er “noget med hacking”, men færre ved præcis, hvad en penetrationstest faktisk gør, hvad den ikke gør, og hvornår den giver mening.

Hvad er en pentest i praksis? Det er en kontrolleret sikkerhedstest, der viser, om en angriber faktisk kan udnytte svagheder i jeres miljø.

I denne guide får du den korte, praktiske forklaring. Ikke buzzwords. Bare det, du skal vide, hvis du overvejer en pentest i din virksomhed.

Hvad er en pentest, og hvad tester den?

En pentest – kort for penetrationstest – er en kontrolleret sikkerhedstest, hvor man forsøger at kompromittere systemer, brugere eller infrastruktur på samme måde, som en rigtig angriber ville gøre det.

Formålet er ikke bare at finde sårbarheder, men at vurdere om de faktisk kan udnyttes i praksis, og hvad konsekvensen er, hvis det lykkes.

En god pentest svarer altså ikke kun på spørgsmålet: “Har vi svagheder?” Den svarer på: “Kan en angriber komme ind – og hvor langt kan de komme?”

Hvad tester en pentest typisk?

Det afhænger af scope, men en pentest kan for eksempel omfatte:

• Internt netværk og Active Directory
• Eksternt eksponerede systemer og services
• Cloud-miljøer og identiteter
• Webapplikationer og API’er
• Rettigheder, fejlkonfigurationer og svage passwords

I praksis er det ofte kombinationen af små svagheder, der gør forskellen. En pentest viser netop, hvordan enkeltstående fejl kan kædes sammen til en reel angrebsvej.

Hvad er forskellen på en pentest og en sårbarhedsscanning?

En sårbarhedsscanner finder typisk kendte svagheder og CVE’er. Det er nyttigt, men det er ikke det samme som en pentest.

En pentest går et skridt videre og undersøger, om fundene faktisk kan udnyttes, om de kan kombineres, og om de giver adgang til noget kritisk.

Hvis du vil dykke dybere ned i den forskel, kan du også læse vores guide til IT sikkerhedstest og vores artikel om NodeZero i praksis.

Hvad får man ud af en pentest?

En værdifuld pentest giver jer ikke bare en rapport. Den giver jer et beslutningsgrundlag.

• Et realistisk billede af risikoen
• Dokumentation for om jeres kontroller virker
• Prioriterede anbefalinger til remediation
• Bedre grundlag for ledelsesrapportering og compliance

Det er særligt vigtigt, hvis I arbejder med NIS2, DORA eller interne krav om dokumenterbar sikkerhedsvalidering.

Hvornår giver en pentest mening?

En pentest giver typisk mening, når:

• I vil teste, om jeres sikkerhedsforanstaltninger virker i praksis
• I har ændret infrastruktur, cloud, netværk eller identitetssetup
• I vil validere risiko før audit eller compliance-gennemgang
• I har brug for at prioritere, hvilke svagheder der faktisk er farlige

For nogle virksomheder er en årlig pentest nok som minimum. For andre er det for lidt. Hvis jeres miljø ændrer sig ofte, giver kontinuerlig penetrationstest ofte mere mening end et enkelt årligt snapshot.

Traditionel eller automatiseret pentest?

Traditionelle pentests har stadig deres plads, især ved dybe specialisttests af afgrænsede scopes. Men mange virksomheder opdager, at de har brug for hyppigere validering, hurtigere retests og bedre dokumentation mellem de store projekter.

Her er automatiserede platforme som NodeZero interessante, fordi de kan teste oftere, dokumentere reelle angrebsveje og gøre det lettere at arbejde i en find-fix-verify-model.

Du kan læse mere i vores artikel om automatiseret penetrationstest med NodeZero og vores gennemgang af pentest pris.

Hvis du vil have producentperspektivet på autonom pentesting, kan du også læse mere hos Horizon3.ai.

Konklusion: Hvad er en pentest egentlig?

En pentest er den mest konkrete måde at finde ud af, om jeres sikkerhed virker i virkeligheden – ikke bare på papir.

Den viser, hvordan en angriber kan bevæge sig gennem jeres miljø, hvilke svagheder der virkelig betyder noget, og hvad I bør lukke først.

Hvis du vil forstå, hvordan det ser ud i praksis i et moderne miljø, kan du booke en kort gennemgang her: Book en NodeZero demo.

The post Hvad er en pentest? Guide til penetrationstest for virksomheder appeared first on Opiniosec.

Hvordan ved du, om din IT sikkerhedstest faktisk fanger de rigtige trusler? I denne artikel gennemgår vi fem metoder til at validere din cybersikkerhed, fra simpel sårbarhedsscanning til avanceret red teaming, og hjælper dig med at vælge den rigtige tilgang for din organisation.

Hvorfor IT sikkerhedstest er vigtigere end nogensinde

Danske virksomheder investerer millioner i firewalls, EDR, MFA og sikkerhedspolitikker. Men investeringen er kun halvdelen. Den anden halvdel er at bevise, at det hele faktisk virker.

Med NIS2 i kraft siden juli 2025 er det ikke længere valgfrit. Artikel 21(f) kræver eksplicit, at organisationer har procedurer til at vurdere effektiviteten af deres sikkerhedsforanstaltninger. Med andre ord: du skal teste.

Men “test” kan betyde mange ting. En sårbarhedsscanning er ikke det samme som en penetrationstest, og en penetrationstest er ikke det samme som et red team-engagement. Prisen varierer fra få tusinde til flere hundrede tusinde kroner, og værdien afhænger af, hvad du faktisk har brug for.

Her er de fem mest udbredte metoder, hvad de koster, hvad de finder, og hvornår du bør bruge dem.

IT sikkerhedstest metode 1: Sårbarhedsscanning

Hvad er en IT sikkerhedstest med sårbarhedsscanning?

En sårbarhedsscanner (Qualys, Tenable, Nessus, OpenVAS) gennemgår dine systemer og matcher dem mod en database af kendte sårbarheder (CVE’er). Resultatet er en liste sorteret efter CVSS-score, typisk med hundredvis eller tusindvis af fund.

Det er den mest basale form for IT sikkerhedstest. Scanneren fortæller dig, at en sårbarhed eksisterer, men den beviser ikke, om den kan udnyttes. Den fortæller dig heller ikke, hvordan flere svagheder kan kædes sammen til et reelt angreb.

Fordele

• Hurtig og billig at køre (minutter til timer)
• Kan automatiseres og scheduleres dagligt
• Godt overblik over manglende patches
• Opfylder basale compliance-krav

Begrænsninger

• Høj andel false positives (op til 30-40%)
• Ingen kontekst: en “kritisk” CVE på en isoleret testserver er ikke det samme som på dit ERP-system
• Beviser ikke, at sårbarheder faktisk kan udnyttes
• Finder ikke logiske fejl, misconfiguration-kæder eller svage passwords

Pris

5.000-30.000 kr./år for et SaaS-abonnement, afhængigt af antal assets. Open source-alternativer som OpenVAS er gratis.

Hvornår du bør bruge det

Altid. Sårbarhedsscanning er baseline-hygiejne. Men det er ikke nok i sig selv til at opfylde NIS2’s krav om effektivitetsvurdering, og det bør aldrig stå alene som din IT sikkerhedstest.

IT sikkerhedstest metode 2: Automatiseret penetrationstest

Hvad er automatiseret IT sikkerhedstest?

Automatiseret penetrationstest tager sårbarhedsscanning et afgørende skridt videre: platformen udnytter de fundne svagheder, kæder dem sammen til angrebskæder og beviser, at de kan bruges til at kompromittere dine systemer.

Platforme som NodeZero fra Horizon3.ai kører autonomt, uden scripts og uden foruddefinerede playbooks. NodeZero starter som en rigtig angriber, fra nul, og arbejder sig systematisk ind i din infrastruktur. Hver test dokumenteres med proof of exploit og detaljeret fix guidance.

Fordele

• Beviser at sårbarheder kan udnyttes (proof of exploit)
• Kæder svagheder sammen til realistiske angrebsstier
• Kan køres ubegrænset til fast pris
• Resultater på timer, ikke uger
• Production-safe: over 170.000 tests uden driftsforstyrrelser
• Quick Verify: gentest specifikke fixes på minutter

Begrænsninger

• Fokuserer primært på netværk, AD og infrastruktur
• Erstatter ikke specialiseret applikationssikkerhedstest
• Kræver en Docker-host eller OVA i netværket

Pris

Fast årligt abonnement med ubegrænsede tests. Typisk en brøkdel af prisen for en enkelt traditionel pentest. Se den fulde prissammenligning her.

Hvornår du bør bruge det

Når du vil have kontinuerlig validering af din sikkerhed, ikke bare et årligt snapshot. Automatiseret pentest er den mest effektive måde at opfylde NIS2 Artikel 21(f) på, fordi du kan dokumentere løbende, at dine kontroller virker. Se hvordan en NodeZero pentest fungerer i praksis.

IT sikkerhedstest metode 3: Traditionel (manuel) penetrationstest

Den klassiske IT sikkerhedstest

En traditionel penetrationstest udføres af en eller flere sikkerhedskonsulenter, der manuelt angriber dine systemer over en periode på typisk 1-3 uger. Konsulenten bruger en kombination af automatiserede værktøjer og manuelle teknikker til at finde og udnytte sårbarheder.

Resultatet er en rapport med fund, risikovurdering og anbefalinger, typisk leveret 2-4 uger efter testens afslutning.

Fordele

• Menneskelig kreativitet: en erfaren pentester kan finde logiske fejl og forretningslogik-sårbarheder, som automatiserede tools overser
• Kan tilpasses specifikke scenarier og risikoprofiler
• Anerkendt af compliance-regimer og revisorer
• Kan inkludere social engineering og fysisk sikkerhedstest

Begrænsninger

• Dyr: 150.000-400.000 kr. per engagement
• Langsom: 3-7 uger fra start til rapport
• Begrænset scope: budget og tid afgør, hvad der testes
• Point-in-time: rapporten er forældet, inden den er leveret
• Kvalitet afhænger af den enkelte konsulent
• Fix-verifikation kræver nyt engagement (og ny faktura)

Pris

150.000-400.000 kr. per engagement for en intern pentest. Ekstern pentest typisk 80.000-200.000 kr. Webapp-pentest 100.000-300.000 kr.

Hvornår du bør bruge det

Når du har behov for specialiseret test af applikationssikkerhed, social engineering eller fysisk sikkerhed. Eller når compliance specifikt kræver en uafhængig tredjepartstest. For ren netværks- og infrastrukturtest er automatiseret pentest mere effektiv og økonomisk. Læs mere om kontinuerlig vs. årlig pentest.

IT sikkerhedstest metode 4: Red teaming

Den ultimative IT sikkerhedstest

Red teaming er den mest avancerede form for sikkerhedstest. Et red team simulerer et realistisk, målrettet angreb mod din organisation over en længere periode, typisk 4-12 uger. Målet er ikke at finde flest mulige sårbarheder, men at teste din organisations samlede forsvarsevne: teknologi, processer og mennesker.

Red teamet arbejder i stealth-mode. De bruger social engineering, phishing, fysisk indtrængning og tekniske angreb i kombination. Dit blue team (SOC/IT-sikkerhed) ved typisk ikke, at testen foregår, hvilket giver et realistisk billede af, hvordan I reagerer på et rigtigt angreb.

Fordele

• Tester hele organisationen, ikke bare teknologien
• Realistisk simulering af avancerede trusler (APT)
• Afslører gaps i detection og incident response
• Ekstremt lærerigt for blue team

Begrænsninger

• Meget dyrt: 300.000-1.000.000+ kr.
• Kræver en moden sikkerhedsorganisation for at få værdi
• Langt engagement (4-12 uger)
• Begrænset antal kvalificerede red teams i Danmark
• Overkill for de fleste mellemstore virksomheder

Pris

300.000-1.000.000+ kr. afhængigt af scope, varighed og teamstørrelse.

Hvornår du bør bruge det

Når du har en moden sikkerhedsorganisation med SOC/SIEM, etablerede incident response-processer og allerede kører regelmæssige penetrationstests. Red teaming er toppen af pyramiden, ikke startpunktet.

IT sikkerhedstest metode 5: Security audit og compliance-gennemgang

IT sikkerhedstest med fokus på processer

En security audit er en systematisk gennemgang af din organisations sikkerhedspolitikker, processer og kontroller mod et framework som CIS 18, ISO 27001, NIST CSF eller NIS2. Fokus er på, om de rigtige processer er på plads, om de følges, og om de er dokumenteret.

En audit er ikke en teknisk test. Den spørger ikke “kan en angriber komme ind?” men “har I en politik for adgangskontrol, og følges den?” Begge spørgsmål er vigtige, men de besvarer forskellige ting.

Fordele

• Systematisk overblik over sikkerhedsmodenheden
• Identificerer procesmangler, ikke bare tekniske huller
• Nødvendig for certificering (ISO 27001, ISAE 3402)
• God baseline for at prioritere investeringer

Begrænsninger

• Beviser ikke, at kontroller faktisk virker teknisk
• Kan give falsk tryghed: “vi har en politik” er ikke “vi er sikre”
• Dyr ekstern revision: 100.000-300.000 kr.
• Point-in-time: gælder kun på audittidspunktet

Pris

Intern audit: 0 kr. (din egen tid). Ekstern revision: 100.000-300.000 kr. ISO 27001-certificering: 150.000-500.000 kr. totalt.

Hvornår du bør bruge det

Som fundament. Enhver sikkerhedsstrategi bør starte med en gap-analyse mod et anerkendt framework. Læs vores guide til at køre din egen NIS2-compliance validering.

Sammenligning: Hvilken IT sikkerhedstest passer til dig?

Her er de fem metoder sammenlignet:

Den optimale kombination til IT sikkerhedstest

De fleste organisationer har ikke brug for alle fem metoder. Her er vores anbefaling baseret på organisationsstørrelse:

For en mellemstor dansk virksomhed (50-500 ansatte, NIS2-omfattet):

1. Start med en gap-analyse mod CIS 18 eller ISO 27001 (gratis, intern)
2. Kør sårbarhedsscanning som daglig hygiejne
3. Brug automatiseret pentest (NodeZero) til kontinuerlig validering
4. Supplér med traditionel pentest for specialiserede områder (webapp, social engineering) efter behov

Denne kombination giver dig kontinuerlig sikkerhedsvalidering til en brøkdel af prisen for årlige konsulentengagements, og den opfylder NIS2’s krav om løbende effektivitetsvurdering.

Kom i gang med IT sikkerhedstest

Den hurtigste vej til at forstå din sikkerhedstilstand er at lade din infrastruktur blive testet. Ikke som en teoretisk øvelse, men som et reelt simuleret angreb.

Book en gratis NodeZero-demo med OpinioSec. Vi kører en test mod jeres miljø og gennemgår resultaterne sammen. I får et konkret billede af jeres sikkerhedsniveau, med prioriterede fund og konkret fix guidance.

Book en gratis NodeZero-demo eller ring til os på +45 77 34 56 40.

Ofte stillede spørgsmål om IT sikkerhedstest

Læs også

• NodeZero i praksis: Autonom pentest på under 4 timer
• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke er nok
• Pentest pris: Automatiseret vs. traditionel
• NIS2 krav: Personligt ansvar for bestyrelsen
• NIS2-compliance: Validér din sikkerhed uden dyre konsulenter
• Pen test i 2026: Derfor vælger flere automatiseret pentest
• Automatiseret penetration test med NodeZero

OpinioSec er Nordens mest erfarne NodeZero-leverandør og eneste danske Horizon3.ai Guld-partner. Vi kombinerer licens, rådgivning og drift i en samlet løsning og hjælper danske organisationer med at styrke deres cybersikkerhed gennem automatiseret pentest og praktisk sikkerhedsarkitektur.

The post IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed appeared first on Opiniosec.

Hvordan dokumenterer du, at din NIS2-compliance faktisk virker, uden at bruge en formue på konsulenter? Denne artikel giver dig en konkret plan til at validere din NIS2-compliance selv, med gratis frameworks, automatiseret pentest og de rigtige værktøjer.

NIS2-konsulenter er dyre. Men du behøver dem ikke til alt.

Lad os starte med elefanten i rummet: NIS2-compliance er blevet en guldgrube for konsulentbranchen.

Gap-analyser til 150.000 kr. Compliance-roadmaps til 200.000 kr. Implementeringsprojekter der let løber op i en halv million. Og så er vi ikke engang begyndt at tale om den årlige pentest til 250.000-400.000 kr.

For en mellemstor dansk virksomhed med 80 ansatte og en IT-afdeling på 3-5 mennesker er det tal, der får budgettet til at hvine. Især når bestyrelsen spørger: “Hvad får vi egentlig for pengene?”

Her er sandheden: Du kan selv gøre en stor del af arbejdet. Ikke alt, men nok til at komme langt. Og nok til at de penge, du bruger på ekstern hjælp, bliver brugt rigtigt.

NIS2 compliance: Hvad du kan selv, og hvad der kræver hjælp

NIS2 trådte i kraft i Danmark 1. juli 2025. Artikel 21 definerer 10 områder, din virksomhed skal have styr på, fra risikoanalyse og hændelseshåndtering til kryptografi og adgangskontrol. Men direktivet siger kun hvad du skal gøre. Ikke hvordan.

Det er her, CIS 18 Critical Security Controls kommer ind i billedet.

CIS 18 er et internationalt, community-drevet framework med 153 konkrete sikkerhedstiltag, såkaldte safeguards, fordelt på 18 kontrolområder. Det er gratis, det er handlingsorienteret, og CIS har selv lavet en officiel mapping til NIS2-direktivet.

Og det bedste: CIS 18 er designet til at skalere via Implementation Groups (IG):

• IG1: Små virksomheder, begrænset IT (56 safeguards)
• IG2: Mellemstore, regulerede virksomheder (130 safeguards inkl. IG1)
• IG3: Store virksomheder med dedikerede sikkerhedsteams (153 safeguards inkl. IG1+IG2)

IG1 er din essentielle cyberhygiejne, det minimum enhver organisation bør have på plads. IG2 tilføjer det ekstra lag, der typisk er nødvendigt for at leve op til NIS2’s krav om “passende og proportionale foranstaltninger.”

Det her kan du selv:

1. Gap-analyse mod CIS 18 IG1/IG2. Gennemgå hver safeguard og vurdér: Har vi det? Delvist? Slet ikke? Det kræver ikke en konsulent, det kræver en IT-chef, der kender sit eget miljø.
2. Implementering af basale controls. De fleste IG1-safeguards handler om ting som asset inventory, adgangsstyring, MFA, backup-procedurer og sikker konfiguration. Det er dine systemer. Du ved, hvordan de skal konfigureres.
3. Dokumentation af politikker. NIS2 kræver skriftlige politikker for risikoanalyse, hændelseshåndtering og forretningskontinuitet. Skabeloner findes online, og den, der kender forretningen bedst, er dig selv.
4. Security awareness-træning. CIS Control 14 handler om at træne dine medarbejdere. Det behøver ikke koste en formue, der findes gode platforme fra få hundrede kroner per medarbejder per år.

Gratis NIS2 compliance ressourcer, der giver dig et forspring

Du behøver ikke starte fra nul. Her er de vigtigste gratis ressourcer:

CIS 18 Controls Framework

Selve frameworket er gratis tilgængeligt på cisecurity.org/controls. Download det, print det ud, gå det igennem med dit team. CIS har også udgivet en officiel mapping til NIS2, et whitepaper der viser præcis, hvilke controls der dækker hvilke NIS2-krav.

Sikkerdigitals NIS2-tjek

På nis2tjek.sikkerdigital.dk kan du tjekke, om din virksomhed overhovedet er omfattet af NIS2. Det tager 5 minutter. Start her, hvis du er i tvivl.

Styrelsen for Samfundssikkerheds vejledninger

samsik.dk har udgivet fire officielle vejledninger til NIS2-implementering i Danmark: vejledning om anvendelsesområdet, vejledning om ledelsens rolle og opgaver, vejledning om foranstaltninger, og vejledning om hændelsesunderretning. Det er den danske stats egen fortolkning af, hvad der forventes.

NIS2 compliance med automatiseret pentest

Her kommer vi til det punkt, hvor det virkelig bliver interessant.

NIS2 Artikel 21, litra (f) kræver:

“Politikker og procedurer til at vurdere effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici.”

Læs den sætning igen. Du skal ikke bare have sikkerhedstiltag, du skal bevise, at de virker.

Traditionelt har det betydet: Hyr en ekstern pentester til 200.000-400.000 kr., vent 2-3 uger på en PDF-rapport, og håb på at din infrastruktur ikke har ændret sig, inden blækket er tørt.

Problemet er åbenlyst:

• Én test om året er et snapshot. 364 dage er du blind.
• Scope er begrænset af budget. Jo dyrere testen er, jo mere skærer du fra.
• Rapporten er forældet, inden du når at handle. Nye sårbarheder dukker op dagligt.
• Verifikation af fixes koster ekstra. Vil du tjekke, om din patch virkede? Det er et nyt engagement.

Automatiseret pentest ændrer regnestykket

Platforme som NodeZero fra Horizon3.ai kører autonome penetration tests mod din infrastruktur, internt, eksternt, cloud, Active Directory, webapplikationer. Ikke som en sårbarhedsscanner, men som en simuleret angriber, der udnytter reelle angrebskæder.

For NIS2 Artikel 21(f) er det afgørende: Du får kontinuerlig dokumentation af, at dine foranstaltninger virker. Ikke ét datapunkt om året, men en løbende audit trail, der viser, hvornår du testede, hvad du fandt, og hvornår det blev fikset.

Hvad NodeZero konkret validerer i CIS 18

• CIS 4 (Sikker konfiguration): Finder exploitable misconfigurations
• CIS 5 (Kontostyring): Opdager default credentials, svage passwords, forældede konti
• CIS 6 (Adgangskontrol): Tester om MFA faktisk virker, finder privilege escalation-paths
• CIS 7 (Sårbarhedshåndtering): Validerer om sårbarheder er reelt exploitable
• CIS 12 (Netværksinfrastruktur): Finder segmenteringsfejl og netværkssvagheder
• CIS 18 (Penetration Testing): Direkte dækning

Step-by-step: Kør din egen NIS2 compliance med CIS 18 og NodeZero

Her er den plan, vi giver vores kunder. Den er pragmatisk, den er realistisk, og den kan gennemføres uden et konsulentbureau.

Trin 1: Afklar om du er omfattet (1 time)

Gå ind på nis2tjek.sikkerdigital.dk. Svar på spørgsmålene. Hvis du er omfattet, fortsæt. Hvis ikke, er du færdig (men overvej alligevel at bruge CIS 18 som din sikkerhedsbaseline).

Trin 2: Gap-analyse mod CIS 18 IG1/IG2 (1-2 dage)

Download CIS 18 Controls v8.1. Saml dit IT-team. Gennemgå hver safeguard i IG1 (56 stk.) og IG2 (yderligere 74 stk., 130 i alt). Score jer selv: Implementeret, Delvist eller Mangler. Brug CIS’ officielle NIS2-mapping til at se, hvilke Art. 21-krav jeres huller rammer. Det giver jer prioriteringen.

Trin 3: Luk de nemme huller (2-4 uger)

Start med IG1-safeguards, der mangler. De fleste handler om grundlæggende hygiejne:

• Asset inventory (CIS 1-2): Ved I, hvad der er på jeres netværk?
• MFA på alle administrative konti (CIS 6)
• Automatisk backup med test af restore (CIS 11)
• Sikker konfiguration/hardening (CIS 4)
• Logning aktiveret og centraliseret (CIS 8)

Trin 4: Validér med automatiseret pentest (1 dag)

Kør en NodeZero-test mod jeres infrastruktur. Den finder angrebskæder I ikke vidste eksisterede, misconfigurations der gik under radaren i gap-analysen, default credentials I glemte at ændre, og privilege escalation paths fra bruger til domain admin. Se hvordan en NodeZero pentest fungerer i praksis.

Trin 5: Fix og verificér (løbende)

Brug NodeZero’s Quick Verify til at genverificere, at jeres fixes virker, uden at køre en fuld test. Sæt automatiske tests op ugentligt eller månedligt. Nu har I den kontinuerlige effektivitetsvurdering, som Art. 21(f) kræver.

Trin 6: Dokumentér med OCSP

Saml jeres CIS 18-scorecard, jeres NodeZero-rapporter og jeres politikdokumenter. Med OpinioSec Compliance & Security Portal (OCSP) mappes fund automatisk til dit compliance-regime via et live dashboard: NIS2, GDPR, DORA, ISO 27001 eller et af 250+ andre frameworks.

OCSP leverer fem rapporttyper, fra Executive Summary til Compliance-audit, genereret on-demand på under 60 sekunder. Med kronjuvel-prioritering og 50+ auto-detektionsmønstre prioriterer du uden ekstern hjælp: dine mest kritiske assets mappet mod fundne sårbarheder giver dig en prioritering baseret på forretningsværdi, ikke bare CVSS-scores.

Når tilsynet banker på, har I noget at vise frem, ikke en støvet PDF fra sidste år, men en levende, opdateret portal med compliance-klar dokumentation.

NIS2 compliance: Hvornår du skal have ekstern hjælp

Der er ting, du ikke bør gøre selv. Spar pengene til der, hvor de virkelig gør en forskel:

• Juridisk rådgivning: NIS2-loven er ny og fortolkningen er under udvikling. Bestyrelsen kan pådrage sig personlige sanktioner. Tal med en jurist, der kender området. Læs mere om NIS2 og bestyrelsesansvar.
• Ekstern audit og certificering: ISO 27001-certificering, ISAE 3000/3402-erklæringer eller andre formelle attesteringer kræver ekstern revision.
• Social engineering og fysisk sikkerhedstest: Separate discipliner som kan adresseres gennem awareness-træning (CIS Control 14).
• Kompleks arkitektur og OT-sikkerhed: SCADA-systemer og hybrid IT/OT-arkitektur kræver specialiseret ekspertise.

Den pragmatiske sandhed om NIS2 compliance

NIS2-compliance behøver ikke være et seks-cifret konsulentprojekt. De virksomheder, der klarer sig bedst, er dem, der forstår deres eget miljø bedre end nogen ekstern konsulent, bruger anerkendte frameworks som CIS 18 til at strukturere arbejdet, automatiserer validering i stedet for at betale for point-in-time snapshots, og henter ekstern hjælp målrettet til juridik, audit og det, der kræver uafhængighed.

For i sidste ende handler det ikke om at krydse af i et skema. De bedste sikkerhedsteams vi arbejder med, har indset én ting: compliance er et minimum. Reel sikkerhed kræver, at du stopper med at spørge “opfylder vi kravene?” og begynder at spørge “virker det?”

Næste skridt

Den hurtigste vej til at se, hvor du står, er at lade din infrastruktur blive testet. Ikke som en teoretisk gap-analyse på et whiteboard, men som et reelt, simuleret angreb mod dine systemer.

Book en NodeZero-demo med OpinioSec. Vi kører en test mod jeres miljø, gennemgår resultaterne sammen, og I får et konkret billede af jeres sikkerhedsniveau mappet direkte til NIS2-kravene.

Book en gratis NodeZero-demo eller ring til os på +45 77 34 56 40.

Ofte stillede spørgsmål om NIS2 compliance

Læs også

• NodeZero i praksis: Autonom pentest på under 4 timer
• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke er nok
• Pentest pris: Automatiseret vs. traditionel
• NIS2 krav: Personligt ansvar for bestyrelsen
• Pen test i 2026: Derfor vælger flere automatiseret pentest
• Automatiseret penetration test med NodeZero
• IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed

OpinioSec er Nordens mest erfarne NodeZero-leverandør og eneste danske Horizon3.ai Guld-partner. Vi kombinerer licens, rådgivning og drift i en samlet løsning og hjælper danske organisationer med at styrke deres cybersikkerhed gennem automatiseret pentest og praktisk sikkerhedsarkitektur.

The post NIS2-compliance selv: Validér din sikkerhed uden dyre konsulenter appeared first on Opiniosec.

Af Kristoffer Waage Beck, OpinioSec

Forestil dig, at en AI-drevet angriber får adgang til dit netværk. Ikke en script kiddie med et par tools fra GitHub, men en autonom intelligens, der systematisk udforsker hvert hjørne af din infrastruktur, finder svage passwords, udnytter misconfigurations, bevæger sig lateralt mellem systemer og eskalerer privilegier, indtil den har fuld kontrol over jeres Active Directory.

Hvad ville den finde?

Det er præcis det spørgsmål, en NodeZero pentest besvarer. Forskellen er bare, at NodeZero gør det på dine vegne, sikkert, kontrolleret og med detaljerede anvisninger til, hvordan du fikser det, den finder.

Hos OpinioSec har vi kørt hundredvis af NodeZero pentest-engagements. I denne artikel giver vi jer et ærligt, praktisk indblik i, hvordan platformen fungerer i virkeligheden, fra deployment til færdig rapport.

Hvad er NodeZero?

NodeZero er en autonom penetration testing-platform udviklet af det amerikanske cybersikkerhedsfirma Horizon3.ai. Grundlagt af veteraner fra det amerikanske forsvar og efterretningssamfund, har Horizon3.ai bygget en platform, der tænker og handler som en rigtig angriber, men uden risikoen.

Kernen i NodeZero er enkel: Platformen angriber dit netværk autonomt, uden scripts, uden foruddefinerede playbooks. Den opdager, hvad der er der, finder svagheder, kæder dem sammen til angrebsstier og beviser, at de kan udnyttes. Alt sammen uden at skade dine systemer.

Og nej, det er ikke en sårbarhedsscanner. Hvis du har Qualys, Tenable eller Nessus, har du en liste med CVE’er sorteret efter CVSS-scores. Du har ingen idé om, hvilke der faktisk kan udnyttes, hvordan de kædes sammen, eller om en angriber kan bruge dem til at nå jeres kronjuveler. NodeZero beviser det. Hver gang. Med dokumentation.

Nogle nøglefakta:

• Agentless: Der installeres ingenting på dine systemer. Ingen agents, ingen software, ingen ændringer i dit miljø.
• Ingen credentials nødvendige: NodeZero starter fra nul, præcis som en rigtig angriber. Du kan give credentials for at teste specifikke scenarier, men det er valgfrit.
• Production-safe: NodeZero beviser, at en sårbarhed kan udnyttes, uden at forårsage skade. Med over 170.000 tests kørt sikkert i produktionsmiljøer er platformen designet til den virkelige drift.
• Komplet attack chain: NodeZero kæder svagheder sammen til realistiske angrebsstier, fra initial access til domain compromise.

NodeZero bruges i dag af alt fra mellemstore virksomheder til den amerikanske regering. NSA’s CAPT-program (Continuous Autonomous Penetration Testing) bruger NodeZero til at teste over 1.000 forsvarsleverandører, hvor platformen har afdækket mere end 50.000 sårbarheder, hvoraf 70% blev udbedret inden for dage.

NodeZero pentest i praksis: Step-by-step

Lad os tage jer igennem en typisk NodeZero pentest, som vi kører den for vores kunder.

Trin 1: Deploy, under 5 minutter

NodeZero kører som en Docker-container eller OVA (Open Virtualization Appliance). Processen er enkel:

1. Log ind på NodeZero-platformen via browseren
2. Vælg “Internal Pentest” som operation
3. Kopiér det genererede launch-script (en enkelt curl-kommando)
4. Kør scriptet på en Docker-host i kundens netværk

Det er det. Ingen kompleks installation, ingen netværkskonfiguration, ingen firewall-regler. Containeren starter, forbinder til Horizon3.ai’s cloud-platform, og er klar til at angribe.

Tidsforbrug: 3-5 minutter, inklusiv at logge ind og finde den rigtige maskine.

For kunder, der kører tests regelmæssigt, kan man sætte en NodeZero Runner op, en baggrundstjeneste, der automatisk deployer containeren, når en ny test scheduleres. Så er setup-tiden nul.

Trin 2: Konfigurér scope

I NodeZero’s dashboard definerer vi scopet:

• IP-ranges: Hvilke netværkssegmenter skal testes?
• Exclusions: Er der systemer, der skal undgås? (Produktionsdatabaser, medicinsk udstyr, etc.)
• Credentials: Valgfrit. Vil vi teste fra en autentificeret position?
• Minimum runtime: Vi sætter typisk 2-4 timer for at give NodeZero tid til langsommere angreb som password spraying og Bloodhound-analyse.

Vi kan også vælge specifikke testtyper: ren netværkspentest, AD Password Audit, Phishing Impact Test eller en kombination.

Trin 3: Start testen

Ét klik. NodeZero tager over herfra.

Platformen begynder med reconnaissance, præcis som en rigtig angriber. Den scanner netværket, identificerer hosts, services, åbne porte og potentielle angrebsflader. Derefter begynder den autonome exploration: den prøver credentials, udnytter kendte sårbarheder, tester misconfigurations og arbejder sig systematisk dybere ind i infrastrukturen.

Det fascinerende er, at NodeZero ikke følger et fast script. Den tilpasser sin strategi baseret på, hvad den finder. Finder den et svagt password på én maskine, bruger den det til at bevæge sig videre. Finder den en misconfiguration i Active Directory, udnytter den det til privilege escalation. Det er ægte autonom adfærd.

Trin 4: Real-time resultater

Mens testen kører, kan vi følge med live i RealTime View. Vi ser:

• Hvilke hosts NodeZero har opdaget og kontaktet
• Hvilke exploits der er blevet forsøgt og lykkedes
• Hvilke credentials der er knækket eller fundet
• Hvor langt NodeZero er nået ind i infrastrukturen

Det er en helt anden oplevelse end traditionel pentest, hvor man venter uger på en PDF. Her kan vi sidde sammen med kundens IT-team og se angrebene udfolde sig i realtid. Det er enormt lærerigt, og ærligt talt, ofte ret øjenåbnende.

Trin 5: Attack path visualization

Når testen er færdig (typisk 2-4 timer for en fuld intern pentest), præsenterer NodeZero resultaterne visuelt. Det mest kraftfulde element er attack path visualization, et diagram, der viser præcis, hvordan NodeZero bevægede sig fra initial access til kritiske mål.

Du kan se hele kæden: “NodeZero fandt en default credential på en printserver, loggede ind, fandt et cached password, brugte det til lateral movement til en filserver, fandt en Group Policy med et admin-password og eskalerede til Domain Admin.”

Denne visualisering er guld værd i kommunikationen med ledelsen. Det er ikke en abstrakt liste af CVE-numre, det er en konkret fortælling om, hvordan en angriber kan tage jeres miljø.

Trin 6: Proof of exploit

For hvert kritisk fund giver NodeZero proof of exploit, konkret dokumentation for, at sårbarheden faktisk blev udnyttet. Ikke bare “denne port er åben” eller “denne CVE matcher”, men “vi loggede ind med disse credentials” eller “vi eskalerede privilegier via denne Kerberoasting-kæde.”

Det fjerner enhver diskussion om false positives. Når NodeZero siger, at noget er kritisk, er det fordi platformen har bevist det.

Trin 7: Fix guidance

Her skiller NodeZero sig virkelig ud fra traditionelle pentests. For hvert fund får du detaljeret remediation-vejledning, ikke bare “patch denne CVE,” men konkrete trin:

• Hvilken konfiguration skal ændres
• Hvor den skal ændres (specifik host, GPO, service)
• Hvad den systemiske årsag er

NodeZero identificerer også systemiske issues, steder hvor én ændring kan eliminere mange problemer på én gang. Vi har set tilfælde, hvor en enkelt konfigurationsændring eliminerede 36% af de kritiske angrebsstier. Det er enormt effektivt for teams med begrænsede ressourcer.

Trin 8: Quick Verify

Når kundens team har implementeret fixes, kører vi en Quick Verify. Det er en målrettet gentest, der specifikt verificerer, om de identificerede svagheder faktisk er lukket, uden at køre en fuld pentest igen.

Quick Verify tager typisk minutter, ikke timer. Det lukker feedback-loopet i Horizon3’s kerne-filosofi: Find, Fix, Verify, find sårbarhederne, fix dem, verificér at fixet virker.

Hvad en NodeZero pentest typisk finder

Efter hundredvis af tests har vi et klart billede af, hvad der går igen:

Svage og genbrugte passwords

Det er stadig det største problem. NodeZero’s AD Password Audit afslører konsekvent, at organisationer har massive password-problemer. I en typisk førstegangsaudit er det ikke ualmindeligt, at over 50% af passwords kan knækkes, og at hundredvis af konti deler det samme password.

Active Directory-svagheder

Kerberoasting, AS-REP roasting, unconstrained delegation, GPO-misbrug, forældede trust-relationer, AD er næsten altid en guldmine for NodeZero. De fleste organisationer har AD-konfigurationer, der er vokset organisk over 10-20 år, og sikkerhedshygiejnen følger sjældent med.

Misconfigurations

Default credentials på netværksudstyr, åbne JMX-porte, ubeskyttede SMB-shares, LDAP signing ikke påkrævet, usikre JAVA-konfigurationer. Det er sjældent de store, spektakulære zero-days der fælder organisationer, det er de små, oversete konfigurationsfejl.

Lateral movement og fejlende kontroller

Det mest øjenåbnende for mange kunder er at se, hvor let NodeZero bevæger sig mellem systemer. En svaghed på én maskine kombineret med en misconfiguration på en anden fører til kompromittering af en tredje. Netværkssegmentering (eller manglen på samme) bliver brutalt synlig. Det er reelt security control validation: du har investeret i firewall, EDR og IAM, NodeZero viser dig, om de faktisk stopper et angreb.

GOAD-rekorden: 14 minutter til fuld domain compromise

I august 2025 satte NodeZero en bemærkelsesværdig rekord: Platformen løste Game of Active Directory (GOAD) på bare 14 minutter, 50 gange hurtigere end en ekspert-pentester.

GOAD er et anerkendt benchmark udviklet af Orange Cyberdefense, der simulerer et realistisk multi-domain enterprise-netværk. For en erfaren human pentester tager det typisk 12-16 timers koncentreret arbejde at løse GOAD.

For at sætte det i perspektiv: forskning fra Carnegie Mellon University viste, at state-of-the-art LLM’er som GPT-4o og Gemini 2.5 Pro, selv med avancerede prompting-frameworks, ikke kunne gennemføre opgaven pålideligt. De klarede under 30% af angrebsgrafen.

NodeZero klarede 100% på 14 minutter. Fra uautentificeret adgang til fuld forest takeover.

Use cases: Hvornår giver NodeZero mest værdi?

NIS2-compliance

NIS2 Artikel 21(f) kræver, at organisationer har procedurer til at vurdere effektiviteten af sikkerhedsforanstaltninger. Automatiseret pentest er den mest direkte måde at opfylde dette krav på. Læs mere om NIS2-kravene her.

M&A due diligence

Før I køber en virksomhed, vil I vide, hvad I arver. En NodeZero-test på targetets infrastruktur giver jer et ærligt billede af den reelle sikkerhedstilstand på timer, ikke uger.

Post-breach validation

Efter en sikkerhedshændelse skal I vide: er vi faktisk sikre nu? NodeZero kan validere, at angriberen ikke har efterladt bagdøre, og at de fixes, I har implementeret, faktisk lukker de udnyttede stier.

Continuous Threat Exposure Management (CTEM)

Den mest kraftfulde use case er den løbende: scheduler NodeZero til at køre ugentligt eller efter hver større ændring. Med kontinuerlig testing fanger I svagheder, før en angriber gør det. Læs mere om kontinuerlig pentest.

Cloud og hybrid-miljøer

NodeZero tester ikke kun on-premises. Platformen kan pivotere fra internt netværk til cloud-miljøer (AWS, Azure) og teste hele den hybride angrebsflade.

Phishing Impact Testing

Hvad sker der, hvis en medarbejder falder for phishing? NodeZero’s Phishing Impact Test tager et sæt kompromitterede credentials og viser præcis, hvor langt en angriber kan nå med dem.

Fra pentest-data til compliance-intelligence med OCSP

NodeZero leverer exceptionelle pentest-resultater. Men rå pentest-data er kun startpunktet. Hos OpinioSec har vi bygget OpinioSec Compliance & Security Portal (OCSP), et komplet compliance- og rapporteringslag oven på NodeZero:

• Live compliance-dashboard: Hvert fund mappes automatisk til dine kontrolkrav, NIS2, CIS 18, GDPR, DORA, ISO 27001 og 250+ andre frameworks
• Fem rapporttyper: Pentest-historik, Sikkerhedsposition, Kronjuvel-eksponering, Compliance-audit og Executive Summary, genereret on-demand på under 60 sekunder
• Kronjuvel-prioritering: 50+ auto-detektionsmønstre identificerer fund der truer jeres mest kritiske assets
• Avanceret planlægning: 12-måneders kalendervisning med blackout-vinduer og iCal-integration
• 13 realtids-alarmtyper: Fra kritiske fund til compliance-statusændringer
• Manipulationssikkert audit trail: Fuld logning af alle handlinger, klar til revision

Det er denne kombination, NodeZero’s autonome pentest-motor plus OCSP, der er vores differentiator. Du kan købe en NodeZero-licens direkte. Men uden live compliance-dashboard, kronjuvel-prioritering og fem rapporttyper sidder du med rå data, der stadig kræver konsulentarbejde at omsætte.

Er en NodeZero pentest det rigtige for jer?

En NodeZero pentest er ikke et magisk fix. Det erstatter ikke en moden sikkerhedsorganisation, gode processer eller sikkerhedsbevidste medarbejdere. Men det er det mest effektive værktøj, vi kender til, til at besvare det fundamentale spørgsmål: Kan vores sikkerhed modstå et rigtigt angreb?

Hvis I er en organisation, der:

• Skal leve op til NIS2 eller andre compliance-krav
• Vil teste jeres sikkerhed oftere end 1-2 gange om året
• Har begrænsede sikkerhedsressourcer og skal prioritere klogt
• Vil have bevis, ikke bare antagelser, for jeres sikkerhedsniveau
• Ønsker at lukke feedback-loopet mellem fund og fix

…så er NodeZero værd at se nærmere på.

Næste skridt

Det bedste argument for en NodeZero pentest er at se det i aktion. Vi tilbyder en gratis NodeZero-demo, hvor vi kører en test mod jeres eget miljø, eller et demo-miljø, hvis I foretrækker det.

På under en time ser I:

• Hvordan NodeZero deployes og konfigureres
• Hvad platformen finder i et reelt netværk
• Hvordan attack paths, proof of exploit og fix guidance ser ud i praksis
• Hvordan Quick Verify lukker feedback-loopet

Ingen forpligtelser. Ingen salgstale. Bare resultater.

Book en gratis NodeZero-demo, se hvad en autonom pentest finder i jeres miljø.

Eller ring til os på +45 77 34 56 40.

Ofte stillede spørgsmål om NodeZero

Læs også

• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke er nok
• Pentest pris: Automatiseret vs. traditionel
• NIS2 krav: Personligt ansvar for bestyrelsen
• Pen test i 2026: Derfor vælger flere automatiseret pentest
• Se NodeZero produktside
• NIS2-compliance selv: Validér din sikkerhed uden dyre konsulenter
• IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed

OpinioSec er Nordens mest erfarne NodeZero-leverandør og eneste danske Horizon3.ai Guld-partner. Vi kombinerer licens, rådgivning og drift i én samlet løsning og hjælper danske organisationer med at styrke deres cybersikkerhed gennem automatiseret pentest og praktisk sikkerhedsarkitektur.

The post NodeZero i praksis: Sådan kører vi en autonom pentest på under 4 timer appeared first on Opiniosec.

Af Kristoffer Waage Beck, OpinioSec, Marts 2026

Du pentester én gang om året. De resterende 364 dage flyver du blindt.

Det lyder dramatisk. Men tænk over det: Din årlige pentest-rapport landede i marts. I april udkom tre kritiske CVE’er. I maj skiftede en netværksadministrator job og hans servicekonti blev aldrig deaktiveret. I juni migrerede udviklingsafdelingen til en ny cloud-provider. I august åbnede nogen en RDP-port “midlertidigt” for en leverandør. Den er der stadig.

Ingen af de ting er dækket af din pentest-rapport. Den rapport, du brugte 250.000 kr. på, beskriver et miljø der ikke længere eksisterer.

Velkommen til virkeligheden for de fleste danske virksomheder. Og med NIS2 i kraft siden 1. juli 2025 er det en virkelighed, der kan koste dig op til 75 millioner kroner i bøder og din CISO eller bestyrelsesformand et personligt ansvar. Læs her hvordan kontinuerlig penetrationstest kan løse problemet.

Problemet med årlig pentest

Lad os være ærlige om hvad en traditionel pentest faktisk er: et point-in-time snapshot. En konsulent bruger 1-3 uger på at teste et afgrænset scope, skriver en rapport, og afleverer den 2-4 uger efter testens afslutning. Rapporten er allerede forældet, inden blækket er tørt.

Modellen er forældet. Den havde sin plads, men den har tre fundamentale svagheder der gør den umulig at forsvare i 2026:

1. Tidsmæssig blindhed

En årlig pentest dækker et vindue på typisk 5-15 arbejdsdage. Det er 1-4% af året. De øvrige 96-99% af tiden har du ingen validering af, om dine sikkerhedskontroller faktisk virker. Du antager, at det billede, du fik i marts, stadig er korrekt i november. Det er det ikke.

2. Scope-begrænsning

Budget og tid tvinger altid en afgrænsning. Du tester det interne netværk, men ikke cloud-miljøet. Eller du tester webapplikationen, men ikke Active Directory. En angriber har ikke et scope. En angriber tester alt.

3. Rapport-latens

Fra testens afslutning til du har en færdig rapport går der typisk 2-4 uger. Fra rapport til remediering går der yderligere uger til måneder. Fra remediering til verifikation, ja, det kræver en ny test. Og en ny regning.

I mellemtiden udnytter angribere sårbarheder inden for timer efter offentliggørelse. Den gennemsnitlige tid fra CVE-publicering til aktiv udnyttelse er faldet fra uger til dage. Din årlige cadence er simpelthen for langsom.

Hvad ændrer sig mellem dine tests?

Hvis dit IT-miljø var statisk, ville årlig pentest måske være tilstrækkeligt. Men intet miljø er statisk. Her er hvad der typisk ændrer sig mellem to årlige pentests:

Nye sårbarheder: I 2024 blev der publiceret over 29.000 CVE’er, det er ca. 80 nye sårbarheder om dagen. Selv hvis kun 1% er relevante for dit miljø, er det næsten 300 nye angrebsvektorer om året, du ikke har testet.

Configuration drift: Firewallregler ændres. Undtagelser tilføjes. “Midlertidige” porte åbnes og glemmes. Hardening-baselines udvandes gradvist over tid. Det sker ikke af ond vilje. det sker fordi drift er komplekst, og små ændringer akkumulerer.

Medarbejderudskiftning: En netværksadministrator stopper. Servicekonti, VPN-adgange og SSH-nøgler følger ikke automatisk med ud af døren. Nye medarbejdere får onboarding-adgange, der aldrig strammes. Privilegerede konti ophobes som gæld.

Ny infrastruktur: En ny SaaS-integration, en ekstra Azure-subscription, en IoT-enhed på netværket, et nyt API-endpoint. Hver tilføjelse udvider angrebsfladen, men var ikke med i det scope, din pentester testede.

Leverandøradgange: Managed service providers, softwareleverandører, konsulenter, alle med varierende grader af adgang til dit miljø. NIS2 stiller eksplicit krav om forsyningskædesikkerhed (Artikel 21d), men din årlige pentest tester sjældent leverandøradgange.

Summen af alt dette: det miljø, din pentester testede i marts, er et fundamentalt andet miljø end det, du kører i september. Din rapport er et fotografi af en bygning, der er blevet ombygget.

Hvad er kontinuerlig sikkerhedsvalidering?

Kontinuerlig sikkerhedsvalidering er præcis, hvad det lyder som: en løbende proces, hvor dine sikkerhedskontroller testes og verificeres, ikke en gang om året, men ugentligt, månedligt eller endda dagligt.

Og lad os slå det fast med det samme: det er ikke sårbarhedsscanning.

En sårbarhedsscanner (Qualys, Tenable, Nessus) fortæller dig, at en CVE kan eksistere på en host. Den giver dig en liste med tusindvis af fund sorteret efter CVSS-score. Den tester ikke om sårbarheden faktisk kan udnyttes. Den kæder ikke svagheder sammen. Den bevæger sig ikke lateralt. Den beviser ingenting.

NodeZero er en autonom angriber. Den finder en svaghed, udnytter den, bruger den til at komme videre, eskalerer privilegier og dokumenterer hele angrebskæden med proof of exploit. Det er forskellen på at få at vide “din dør kan være ulåst” og at se nogen gå ind, tage nøglerne til pengeskabet og gå ud igen med dokumentation for hvert skridt.

	Sårbarhedsscanner	NodeZero
Output	CVE-liste med CVSS-scores	Dokumenterede angrebsstier med proof of exploit
Beviser udnyttelse	Nej, kun teoretisk risiko	Ja, faktisk exploitation
Kæder svagheder	Nej, isolerede fund	Ja, komplet attack chain
Lateral movement	Nej	Ja, bevæger sig som en angriber
Privilege escalation	Nej	Ja, fra bruger til domain admin
Fix-verifikation	Ny scanning, ingen garanti	Quick Verify, bevist lukket
Prioritering	CVSS i et vakuum	Faktisk impact baseret på exploiterbarhed
False positives	Mange	Næsten nul, alt er bevist

Dine kunder har sandsynligvis allerede en sårbarhedsscanner. Den erstattes ikke, den suppleres. Men den giver jer et falsk billede af jeres risiko. NodeZero giver jer det rigtige.

Konkret betyder det:

• Autonom, kontinuerlige penetrationstests der kan køre mod hele dit miljø uden at en konsulent skal sidde bag tastaturet
• Automatiseret angrebskæde-validering der tester, om en initial adgang kan eskaleres til domain admin, følsom data eller kritiske systemer
• Scheduleret gentagelse så du tester efter hver væsentlig ændring, ikke efter et år
• Hurtig verifikation af om specifikke fixes faktisk lukker de huller, de skulle lukke

Tænk på det som forskellen mellem en årlig helbredsundersøgelse og et smartwatch, der løbende måler din puls, blodtryk og søvn. Begge har værdi. Men kun én giver dig besked, når noget er galt lige nu.

Årlig vs. kontinuerlig penetrationstest: En konkret sammenligning

Den sidste linje er afgørende: med årlig pentest er din gennemsnitlige eksponeringstid for en ny sårbarhed seks måneder. Med ugentlig validering er den dage. Det er forskellen mellem at opdage en åben dør inden for en uge, og at lade den stå åben et halvt år.

Hvad NIS2 kræver og hvorfor det ændrer spillereglerne

NIS2 Artikel 21(f) kræver at omfattede virksomheder implementerer “politikker og procedurer til at vurdere effektiviteten af cybersikkerhedsforanstaltninger.” Det er ikke et forslag. Det er et krav.

Spørgsmålet er: hvordan beviser du effektivitet? Du kan lave policy-reviews. Du kan gennemføre tabletop-øvelser. Men den mest direkte og troværdige metode er at teste dine kontroller, som en angriber ville, med penetration testing.

NIS2 nævner ikke eksplicit “pentest”. Men som sikkerhedseksperter har påpeget: “NIS2 does not explicitly mandate penetration testing, but it requires measures that are hardly feasible or verifiable without it.” Det er svært at argumentere for, at du har vurderet effektiviteten af dine sikkerhedsforanstaltninger, hvis du aldrig har testet, om de holder til et reelt angreb.

Og vigtigere: Artikel 21(f) taler om løbende vurdering. Ikke “en gang om året.” Direktivets ånd peger klart mod kontinuerlig validering, ikke årlige snapshots.

Med bøder op til €10 millioner (eller 2% af global omsætning) for væsentlige enheder og personligt ledelsesansvar for bestyrelsen, er incitamentet til at gøre det ordentligt betydeligt.

Hvordan NodeZero leverer kontinuerlig validering

NodeZero fra Horizon3.ai er en autonom, kontinuerlig penetrationtest-platform, der erstatter den årlige konsulentpentest. Ikke som et supplement ( som en erstatning.

Kontinuerlig penetrationstest i timer: ikke uger

NodeZero kører en fuld intern pentest på timer. Ikke dage, ikke uger, timer. Platformen fungerer som en reel angriber: den scanner, enumererer, finder sårbarheder, udnytter dem, eskalerer privilegier og dokumenterer hele angrebskæden. Alt sammen autonomt, uden en konsulent bag tastaturet.

Den er agentless, ingen software skal installeres på dine systemer. En Docker-container eller OVA på dit netværk er alt, der kræves. Og den er production-safe: med over 170.000 tests kørt sikkert i produktionsmiljøer er NodeZero designet til at bevise exploits uden at skade dine systemer. Det er ikke et lab-værktøj, det er bygget til den virkelige verden.

Fuld angrebsflade: ikke afgrænset scope

Intern netværk, ekstern angrebsflade, cloud-miljøer (AWS, Azure), webapplikationer, Active Directory. NodeZero tester det hele. Og vigtigere: den kan pivotere mellem miljøer, ligesom en reel angriber. Fandt den credentials internt, der giver adgang til cloud? Den tester det. Er der en webapplikation med en SQL-injection, der fører til intern netværksadgang? Den finder vejen.

Quick Verify: bevis at dit fix virker

En af de mest undervurderede funktioner: Quick Verify. Når du har remedieret en finding, kan du køre en målrettet gentest af netop den sårbarhed, uden at køre en fuld pentest. Det lukker feedback-loopet fra dage til timer. Ingen ny engagement, ingen ny regning, ingen ventetid.

Scheduling: automatisér din cadence

Tænk på det som “Pentest Wednesday”, fra Microsofts Patch Tuesday til automatiseret pentest dagen efter. Test efter hver patch-cyklus, ikke én gang om året. Sæt NodeZero til at køre ugentligt, månedligt, eller efter hver change window. Resultater leveres i et real-time dashboard med detaljeret angrebskæde-visualisering og specifik remedieringsvejledning per finding. Din compliance-dokumentation opbygges automatisk, en kontinuerlig audit trail, der dokumenterer over for NIS2-tilsyn, at du løbende vurderer effektiviteten af dine kontroller.

Med OpinioSec Compliance & Security Portal (OCSP) får du det fulde overblik oven på NodeZero: en 12-måneders kalendervisning med planlagte tests, blackout-vinduer og historiske resultater. Fund mappes automatisk mod dine kontrolkrav via et live compliance-dashboard (NIS2, DORA, ISO 27001 og 250+ andre frameworks), og fem rapporttyper, fra Executive Summary til Compliance-audit, genereres on-demand på under 60 sekunder. 13 konfigurerbare alarmtyper holder teamet informeret i realtid, og et manipulationssikkert audit trail dokumenterer alt. Du venter ikke til næste planlagte test med at reagere.

Tal der taler for sig selv

NodeZero løste Game of Active Directory (GOAD), et anerkendt pentest-benchmark, på 14 minutter. En erfaren menneskelig pentester bruger 12-16 timer. 50 gange hurtigere, reproducerbart, og uden faktura per engagement.

Den optimale model: kombination

Den optimale model er kontinuerlig automatiseret validering som din primære sikkerhedsmotor:

1. Kontinuerlig automatiseret validering (ugentlig/månedlig) som din baseline, fanger konfigurationsdrift, nye CVE’er, glemte konti, scope-ændringer. Det er også en validering af dine sikkerhedsinvesteringer: virker din firewall, EDR og netværkssegmentering faktisk som forventet? Denne tilgang. Continuous Threat Exposure Management (CTEM), erstatter periodiske snapshots med kontinuerlig, valideret indsigt
2. Quick Verify efter hver remediering, lukker feedback-loopet
3. OCSP compliance-dashboard, live overblik med 5 rapporttyper, kronjuvel-prioritering og realtids-alarmer

Med 52+ automatiserede tests om året har du kontinuerlig synlighed. og dokumentationen til at bevise det.

Næste skridt

Hvis du stadig kun pentester én gang om året, er spørgsmålet ikke om du har huller, det er hvor mange du ikke kender til.

Prøv NodeZero, kør din første autonome pentest på under 4 timer.

Vi hjælper dig med opsætning, gennemgang af resultater og en plan for kontinuerlig validering, der matcher dine NIS2-krav.

Book en gratis demo →

Ofte stillede spørgsmål om kontinuerlig penetrationstest

Læs også

• Pentest pris: Automatiseret vs. traditionel, hvad koster det?
• NIS2 krav: Din bestyrelse hæfter personligt for cybersikkerhed
• Pen test i 2026: Derfor vælger flere automatiseret pentest
• Automatiseret penetration test, NodeZero sparer tid og penge
• NodeZero i praksis: Sådan kører vi en autonom pentest på under 4 timer
• NIS2-compliance selv: Validér din sikkerhed uden dyre konsulenter
• IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed

Læs mere om NodeZero:
Se NodeZero produktside →

OpinioSec er Nordens mest erfarne NodeZero-leverandør og eneste danske Horizon3.ai Guld-partner. Vi kombinerer licens, rådgivning og drift i én samlet løsning. og hjælper virksomheder med at gå fra årlig compliance-checkbox til kontinuerlig sikkerhedsvalidering.

The post Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke længere er nok appeared first on Opiniosec.

NIS2 stiller nye krav til bestyrelsen. Hvad gør du nu?

Siden 1. juli 2025 kan bestyrelsen personligt holdes ansvarlig for, at jeres virksomhed lever op til de nye NIS2 krav til cybersikkerhed. For tusindvis af danske virksomheder inden for 18 kritiske sektorer betyder det én ting: cybersikkerhed er ikke længere en teknisk opgave, det er et bestyrelsesansvar.

Bøder op til 75 millioner kroner. Personligt ledelsesansvar. En 24-timers frist for at rapportere sikkerhedshændelser. Kravene er reelle, konsekvenserne er mærkbare, og tidsvinduet for at handle er nu.

Men her er den gode nyhed: NIS2-compliance behøver ikke være uoverskueligt. Med det rigtige framework og det rigtige værktøj kan du gå fra lovtekst til konkret handlingsplan, og vi viser dig hvordan.

Denne artikel giver dig tre ting:

1. Et klart overblik over hvad NIS2 krav og der kræves af din virksomhed
2. CIS 18 Controls som din praktiske roadmap til compliance
3. Automatiseret pentest som metoden til at bevise, at dine foranstaltninger faktisk virker

NIS2 krav kort fortalt: personligt ansvar og stramme deadlines

NIS2 (Network and Information Security Directive 2) er EU’s opgraderede cybersikkerhedsdirektiv, der erstatter det oprindelige NIS1. I Danmark blev loven vedtaget enstemmigt af Folketinget den 29. april 2025, og Styrelsen for Samfundssikkerhed fører tilsyn.

Hvem er omfattet?

Virksomheder i 18 sektorer, fra energi, transport og sundhed til fødevarer, fremstilling og digitale udbydere. Afgørende er tre kriterier:

• Sektor: Er du i en af de 18 omfattede sektorer?
• Størrelse: Mellemstore (50+ ansatte eller 10M+ EUR omsætning) og store virksomheder er automatisk omfattet
• Samfundskritisk funktion: Visse enheder er omfattet uanset størrelse (fx DNS-udbydere, cloud-infrastruktur, tillidstjenester)

Er du i tvivl om NIS2 krav? Tjek nis2tjek.sikkerdigital.dk, det tager fem minutter.

Artikel 21: De 10 krav du skal leve op til

Kernen i NIS2 er Artikel 21, der kræver passende og proportionale foranstaltninger inden for minimum 10 områder:

Ledelsesansvar: det nye i NIS2 kravene

Her adskiller NIS2 krav sig markant fra det meste foregående regulering: bestyrelsen og den øverste ledelse er direkte og personligt ansvarlig for at godkende og føre tilsyn med cybersikkerhedsforanstaltningerne.

Det betyder konkret:

• Ledelsesmedlemmer kan pådrage sig personlige sanktioner
• Mulige konsekvenser inkluderer midlertidigt forbud mod at bestride ledelsesfunktioner
• Ledelsen skal gennemgå cybersikkerhedsuddannelse
• Manglende overholdelse kan offentliggøres

Det er ikke længere nok at delegere cybersikkerhed til IT-afdelingen og håbe det bedste.

Sanktioner

• Væsentlige enheder: Op til €10 mio. eller 2% af global årsomsætning
• Vigtige enheder: Op til €7 mio. eller 1,4% af global årsomsætning
• I dansk kontekst: bøder op til 75 millioner DKK

Incident reporting: Stramme tidsfrister

Når en væsentlig hændelse opstår, tæller uret:

24 timer er ikke lang tid. Uden etablerede processer og værktøjer er det næsten umuligt at overholde.

Problemet: NIS2 krav siger hvad: men ikke hvordan

Her rammer mange virksomheder muren.

NIS2’s Artikel 21 er klar på hvad der kræves: risikoanalyse, hændelseshåndtering, forsyningskædesikkerhed, effektivitetsvurdering og så videre. Men direktivet siger meget lidt om hvordan du konkret implementerer det.

Resultatet? Virksomheder sidder med en lov, der stiller klare krav, men ingen handlingsplan for at opfylde dem. Mange ender i ét af to scenarier:

1. Compliance-panik: Dyre konsulentforløb der producerer politikdokumenter, men ikke reelt forbedrer sikkerheden
2. Analyselammelse: Kravene virker uoverskuelige, og intet sker

Begge scenarier er dyre, enten i konsulentregninger eller i risiko.

Det, virksomheder har brug for, er et konkret, prioriteret framework der oversætter NIS2’s lovkrav til specifikke tekniske og organisatoriske handlinger, og et værktøj der validerer implementeringen løbende. Frameworket eksisterer allerede. Værktøjet gør også.

CIS 18 Controls: Din praktiske roadmap til NIS2-compliance

CIS Critical Security Controls (CIS 18) version 8.1 er et sæt af 18 sikkerhedskontroller med 153 specifikke safeguards, udviklet af Center for Internet Security. Hvor NIS2 beskriver hvad organisationer skal, beskriver CIS 18 hvordan de styrker deres cybersikkerhed.

Hvorfor CIS 18?

• Handlingsorienteret: Hver kontrol har konkrete, implementerbare safeguards
• Officiel NIS2-mapping: CIS har selv udgivet en mapping fra CIS Controls v8.1 til NIS2, det er ikke noget vi opfinder
• Skalerbart: Tre Implementation Groups gør det realistisk for virksomheder i alle størrelser
• Målbart: Safeguards er designet til at kunne måles, afgørende for NIS2’s krav om effektivitetsvurdering
• Baseret på virkeligheden: Opdateret løbende baseret på faktiske angrebsmønstre, ikke akademisk teori
• Gratis tilgængeligt: Ingen licensomkostninger for frameworket selv

CIS 18 er et stærkt udgangspunkt, men i praksis skal de fleste virksomheder forholde sig til flere frameworks samtidig: NIS2, GDPR, DORA, ISO 27001 og andre. Med OpinioSec Compliance & Security Portal (OCSP) mappes NodeZero-fund automatisk til over 250 frameworks på én gang via et live compliance-dashboard. Du vælger dit regime, og rapporterne justeres derefter, klar til tilsyn på under 60 sekunder.

De 18 Controls i overblik

Implementation Groups: Start der hvor du er

CIS 18 er designet til at være skalerbart. Du behøver ikke implementere alt på én gang:

• IG1 (56 safeguards): Essentiel cyberhygiejne. Det absolutte minimum enhver organisation bør have. Passer til mindre virksomheder med begrænset IT-ekspertise.
• IG2 (130 safeguards totalt): For mellemstore organisationer med flere afdelinger og compliance-behov. Her befinder de fleste NIS2-omfattede virksomheder sig.
• IG3 (153 safeguards totalt): For store organisationer med dedikerede sikkerhedsteams og behov for at modstå sofistikerede angreb.

Implementation Groups er kumulative, IG2 inkluderer alt fra IG1, og IG3 inkluderer alt fra IG2. Du bygger ovenpå, ikke om.

Den konkrete mapping: CIS 18 → NIS2 Artikel 21

Her bliver det praktisk. CIS har udgivet en officiel mapping mellem deres controls og NIS2-direktivet. Det betyder, at du kan tage hvert NIS2-krav og se præcis hvilke CIS-kontroller der adresserer det:

Denne tabel er din oversættelsesnøgle. Tag den med til næste bestyrelsesmøde.

Artikel 21(f): Det oversete NIS2 krav der kræver bevis

Lad os zoome ind på ét specifikt krav, der ofte overses, men som kan blive afgørende ved et tilsyn.

Artikel 21, stk. 2, litra (f) kræver:

“Politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici”

Med andre ord: Det er ikke nok at have sikkerhedsforanstaltninger. Du skal bevise, at de virker.

Du kan have verdens bedste firewall-politik, den mest detaljerede incident response-plan og MFA på alle systemer. Men hvis du ikke systematisk tester og dokumenterer, at disse foranstaltninger faktisk stopper angreb, opfylder du ikke kravene.

Hvordan beviser du effektivitet?

Der findes flere metoder, sårbarhedsscanning, audits, tabletop-øvelser, men penetration testing er den mest anerkendte og direkte metode til at vurdere, om dine sikkerhedskontroller holder i praksis.

En pentest simulerer et reelt angreb mod din infrastruktur. Den viser ikke bare teoretiske sårbarheder, den beviser, om en angriber faktisk kan udnytte dem, hvor langt de kan komme, og om dine forsvarsmekanismer opdager og stopper angrebet. Og når fund mappes direkte til dine kontrolkrav, ikke bare som CVE-numre, men som kontroller der fejler, får du auditerbare rapporter, der fungerer som konkret compliance-bevis over for tilsyn og revision.

Som en tysk sikkerhedsekspert formulerer det: “NIS2 kræver ikke eksplicit penetration testing, men direktivet stiller krav, der næppe er gennemførlige eller verificerbare uden det.”

CIS 18 er enig til Control 18 er dedikeret specifikt til penetration testing som den ultimative validering af alle øvrige kontroller.

Og netop her ligger en vigtig pointe: compliance er et minimum, ikke et mål i sig selv. Du kan krydse af i alle skemaer og stadig være sårbar. Reel sikkerhed kræver, at du går fra checkbox til validering, at du tester, om dine foranstaltninger faktisk stopper et angreb, ikke bare om de er dokumenteret.

Traditionel vs. automatiseret pentest: Hvad passer til NIS2 krav?

Når vi taler om pentest som NIS2-compliance-metode, er det vigtigt at forstå forskellen mellem den traditionelle tilgang og den automatiserede.

Sammenligning

364 dage blind

Her er den ubehagelige sandhed om den traditionelle tilgang: Hvis du pentester én gang om året, har du ét øjebliksbillede af din sikkerhed. De resterende 364 dage opererer du uden validering.

Nye sårbarheder offentliggøres dagligt. Konfigurationer ændrer sig. Medarbejdere skifter job, og deres konti forbliver aktive. En pentest fra marts fortæller dig intet om din sikkerhedstilstand i november.

For NIS2 krav om løbende vurdering af effektivitet er et årligt snapshot et minimum, men det matcher ikke direktivets ånd.

Hvad automatiseret pentest leverer

Moderne automatiserede pentest-platforme fungerer som en autonom angriber, der tester din infrastruktur på samme måde som en reel threat actor:

• Intern pentest: Tester internt netværk for lateral movement, privilege escalation og misconfigurations
• Ekstern pentest: Evaluerer din eksterne angrebsflade
• Cloud-pentest: Tester AWS, Azure og hybrid-miljøer
• Web-applikationstest: Simulerer angreb mod webapplikationer
• AD-audit: Verificerer password-politikker og Active Directory-sikkerhed

Vigtigst: Platformen leverer detaljeret fix-vejledning per fund og mulighed for at genvalidere rettelser uden at køre en fuld ny test.

Kombination er bedst

Den stærkeste tilgang kombinerer begge metoder:

• Automatiseret pentest som din løbende baseline, ugentlige eller månedlige tests der holder dig ajour
• Årlig manuel pentest erstattes af kontinuerlig automatiseret validering, der dækker langt mere end et årligt snapshot

Denne kombination giver dig både bredde (kontinuerlig dækning) og dybde (ekspertdrevet kreativitet). og tilfredsstiller NIS2’s krav om løbende effektivitetsvurdering.

NodeZero: Platformen bag automatiseret pentest hos OpinioSec

Hos OpinioSec bruger vi NodeZero fra Horizon3.ai. Og lad os være helt klare: NodeZero er ikke en sårbarhedsscanner. Har du Qualys eller Tenable, har du en CVE-liste. NodeZero er en autonom angriber, der kæder svagheder sammen, udnytter dem og dokumenterer hele vejen fra initial access til domain compromise. Det er en helt anden liga.

Hvad gør NodeZero anderledes?

• Autonom angrebslogik: NodeZero kæder sårbarheder sammen, ligesom en menneskelig angriber. Den finder ikke bare én svaghed, den viser hele angrebsvejen fra initial access til domain compromise.
• Proof of exploitation: Hvert fund dokumenteres med bevis for, at det faktisk kan udnyttes, ikke bare en teoretisk risikoscore.
• Fix-vejledning med prioritering: Hvert fund kommer med konkret vejledning til udbedring, prioriteret efter faktisk impact, ikke CVSS-scores i et vakuum.
• 1-click verify: Når du har rettet en sårbarhed, kan du genvalidere med ét klik. Ingen ny fuld test nødvendig.
• Kontinuerlig compliance-dokumentation: Hver test genererer rapporter der dokumenterer din sikkerhedspostur, klar til NIS2-tilsyn.

NodeZero og NIS2 Artikel 21(f)

NodeZero løser det problem, som mange virksomheder kæmper med: løbende, dokumenteret bevis for at sikkerhedsforanstaltningerne virker. Kør en test i dag, få resultaterne i morgen, ret fundene, verificér rettelserne. og gentag næste uge. Det er præcis den kontinuitet der kræves af NIS2 kravene.

Din roadmap: 3 trin til NIS2-compliance

Nok teori. Her er din konkrete handlingsplan.

Trin 1: Gap-analyse mod CIS 18

Start med at kortlægge hvor du står i dag.

• Vælg din Implementation Group: De fleste NIS2-omfattede virksomheder bør sigte mod IG2 som minimum
• Gennemgå hvert CIS-control mod din nuværende praksis: Hvad har du? Hvad mangler du? Hvad er delvist implementeret?
• Prioritér gaps baseret på risiko og NIS2-kravene i Artikel 21
• Dokumentér resultatet. dette bliver din baseline og din compliance-evidens

En struktureret gap-analyse tager typisk 2-4 uger, afhængig af organisationens størrelse og kompleksitet.

Resultat: Et klart billede af din modenhed og en prioriteret liste over hvad der skal gøres.

Trin 2: Implementér prioriterede controls (IG1 → IG2 → IG3)

Med din gap-analyse i hånden, implementer systematisk:

Start med IG1-fundamentet:

• Asset inventory (CIS 1, 2), du kan ikke beskytte hvad du ikke kender
• Secure configuration (CIS 4), hærd dine systemer ud fra anerkendte baselines
• Account og access control (CIS 5, 6), MFA, least privilege, stram adgangsstyring
• Data recovery (CIS 11), backup der faktisk er testet
• Security awareness (CIS 14), træn dine medarbejdere

Byg videre med IG2:

• Continuous vulnerability management (CIS 7)
• Audit log management (CIS 8)
• Network monitoring (CIS 13)
• Service provider management (CIS 15)
• Incident response (CIS 17)

Avanceret med IG3:

• Application software security (CIS 16)
• Penetration testing (CIS 18)
• Avanceret netværksforsvar (CIS 13, udvidede safeguards)

Hvert trin bygger oven på det forrige. Du behøver ikke nå IG3 på dag ét, men du skal have en plan og kunne dokumentere progression.

Resultat: Konkrete sikkerhedsforbedringer der mapper direkte til NIS2-kravene.

Trin 3: Validér kontinuerligt med NodeZero

Det sidste trin lukker cirklen, og opfylder det kritiske krav i Artikel 21(f).

• Kør NodeZero regelmæssigt, ugentligt eller månedligt som minimum
• Brug resultaterne aktivt: Prioritér remediering baseret på faktisk exploiterbarhed, ikke kun CVSS-scores
• Genvalidér rettelser med 1-click verify for at sikre at de faktisk lukker hullerne
• Dokumentér alt, NodeZero’s rapporter via OCSP udgør din compliance-evidens
• Dokumentér alt, NodeZero’s rapporter, remedieringshandlinger og genvalideringer udgør din compliance-evidens

Resultat: Løbende, dokumenteret bevis for at dine sikkerhedsforanstaltninger virker, præcis hvad NIS2 kræver.

Fra krav til handling

NIS2 er ikke en papirtiger. Med personligt ledelsesansvar, bøder op til 75 millioner DKK og stramme rapporteringsfrister er konsekvenserne reelle. Men compliance behøver ikke være uoverskueligt.

Lad os opsummere:

• NIS2 definerer hvad din virksomhed skal leve op til
• CIS 18 Controls giver dig hvordan, et prioriteret, skalerbart framework med officiel NIS2-mapping
• NodeZero beviser at det virker, løbende, dokumenteret og i overensstemmelse med Artikel 21(f)

De tre elementer tilsammen giver dig en komplet, pragmatisk vej fra lovkrav til reel cybersikkerhed.

OpinioSec giver dig værktøjet til NIS2-compliance

Vi giver danske virksomheder adgang til de værktøjer, der gør NIS2-compliance konkret og målbart, med NodeZero som omdrejningspunkt.

Med OpinioSec får du:

• NodeZero-platformen, autonom pentest der kører når du vil, så ofte du vil, leveret af Nordens mest erfarne NodeZero-partner og eneste danske Horizon3.ai Guld-partner
• OpinioSec Compliance & Security Portal (OCSP), live compliance-dashboard med automatisk mapping til NIS2, GDPR, DORA, ISO 27001 og 250+ andre frameworks
• 5 rapporttyper, Pentest-historik, Sikkerhedsposition, Kronjuvel-eksponering, Compliance-audit og Executive Summary, genereret on-demand på under 60 sekunder som PDF eller Excel
• Kronjuvel-prioritering, 50+ auto-detektionsmønstre identificerer og prioriterer fund der truer jeres mest kritiske assets
• Avanceret planlægning, 12-måneders kalendervisning med blackout-vinduer, regionale skabeloner og iCal-integration
• 13 realtids-alarmtyper, fra kritiske fund på kronjuveler til compliance-statusændringer, leveret øjeblikkeligt
• Gap-analyse mod CIS 18, vi mapper din nuværende sikkerhed til NIS2-kravene
• Manipulationssikkert audit trail, fuld logning af alle handlinger, klar til revision og tilsyn
• Manipulationssikkert audit trail, fuld logning af alle handlinger, klar til revision

NIS2 er trådt i kraft. Dit værktøj til compliance er klar.

Se hvordan automatiseret pentest validerer din NIS2-compliance, book en gratis NodeZero-demo https://horizon3.ai/

Ofte stillede spørgsmål om NIS2

Læs også

• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke er nok
• Pentest pris: Automatiseret vs. traditionel
• Se NodeZero produktside →
• NodeZero i praksis: Sådan kører vi en autonom pentest på under 4 timer
• NIS2-compliance selv: Validér din sikkerhed uden dyre konsulenter
• IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed

Denne artikel er udgivet af OpinioSec i februar 2026. Vil du se NodeZero i aktion og forstå, hvordan automatiseret pentest kan validere din NIS2-compliance? Book en gratis demo.

The post NIS2 krav: Din bestyrelse hæfter personligt for cybersikkerhed appeared first on Opiniosec.

Af Jeppe Lau Hansen, OpinioSec – Marts 2026

150.000 til 400.000 kr. for én pentest. Er det pengene værd?

Det er det spørgsmål, der lander på IT-chefens bord mindst én gang om året. Og svaret er sjældent enkelt.

En traditionel penetrationstest koster typisk mellem 150.000 og 400.000 kr., afhængigt af scope, kompleksitet og konsulentfirma. For den pris får du en specialist, der i 1 til 3 uger forsøger at bryde ind i dine systemer. Derefter venter du 2 til 4 uger på en rapport. Så bruger dit team måneder på at udbedre fundene. Og når du vil verificere, at rettelserne virker? Ny test, ny faktura.

Modellen er forældet. Og med NIS2 er den umulig at forsvare.

Men virkeligheden har ændret sig. Med NIS2 i kraft siden 1. juli 2025, med bøder op til 75 mio. kr. og personligt ledelsesansvar, er “én gang om året” ikke længere nok. Og med automatiserede pentest-platforme som NodeZero er det heller ikke længere nødvendigt.

Denne artikel er et regnestykke. Ikke et salgsoplæg. Vi gennemgår hvad begge tilgange koster, synligt og skjult, og hvornår det giver mening at vælge den ene, den anden, eller begge.

Hvad traditionel pentest koster

Lad os starte med det kendte. En traditionel pentest fra et dansk konsulentfirma ser typisk sådan ud:

Direkte omkostninger:

• Pris per engagement: 150.000 til 400.000 kr. (intern infrastruktur). Webapplikationer: 80.000 til 200.000 kr. per app.
• Varighed: 1 til 3 uger on-site eller remote testing, efterfulgt af 2 til 4 ugers rapportskrivning.
• Scope: Defineret og begrænset på forhånd. Du betaler for et aftalt antal IP-adresser, applikationer eller netværkssegmenter. Alt udenfor scope er usynligt.
• Frekvens: Typisk 1 til 2 gange årligt.
• Gentest: Hvis du vil verificere, at dine rettelser virker, kræver det et nyt engagement. Pris: 30.000 til 80.000 kr. for re-test af fundene.

Samlet årlig omkostning (typisk scenarie):

For den pris får du 2 til 3 rapporter om året. Rapporter der beskriver, hvordan dine systemer så ud i den specifikke uge, testen blev udført. Ikke ugen efter. Ikke da den nye server blev sat op i marts. Ikke da nogen åbnede en port i august.

Du får et øjebliksbillede. Og i cybersikkerhed ældes øjebliksbilleder hurtigt.

Og så er der dem, der siger: “Vi har jo en sårbarhedsscanner.” Ja. Du har en liste med 3.000 CVE’er sorteret efter CVSS-score. Du har ingen anelse om, hvilke af dem en angriber faktisk kan udnytte, kæde sammen og bruge til at kompromittere jeres Active Directory. En scanner finder potentielle svagheder. NodeZero beviser, hvad en angriber kan gøre med dem, og dokumenterer hvert skridt.

Det egentlige spørgsmål forbliver ubesvaret: Du har brugt millioner på firewall, EDR og IAM, men virker de?

Hvad automatiseret pentest koster

Automatiseret pentest, i dette tilfælde med Horizon3.ai’s NodeZero-platform, er en fundamentalt anderledes model:

Direkte omkostninger:

• Prismodel: Årligt abonnement. Fast pris uanset antal tests.
• Varighed per test: Timer, ikke uger. En fuld intern pentest kører typisk på 4 til 8 timer.
• Scope: Hele infrastrukturen. Intern, ekstern, cloud (AWS/Azure), webapplikationer, Active Directory, alt i samme platform.
• Frekvens: Ubegrænset. Kør ugentligt, dagligt, eller efter hver ændring.
• Gentest: Inkluderet. NodeZero’s “Quick Verify” lader dig genvalidere specifikke fixes uden at køre en fuld test, det er kernen i “Find, Fix, Verify”-tilgangen: find sårbarhederne, fix dem, og verificér at fixet virker.
• Installation: Agentless. En Docker-container eller OVA. Ingen agents på endpoints.
• Production-safe: Med over 170.000 tests kørt sikkert i produktionsmiljøer er platformen designet til at bevise exploits uden at skade systemer.

Samlet årlig omkostning:

Den konkrete pris afhænger af virksomhedens størrelse og aftale. Kontakt os for et tilbud.

For den pris får du ikke én rapport. Du får en kontinuerlig strøm af validerede fund med angrebsstier, proof-of-exploit, og konkrete fiksvejledninger, tilgængelige i et dashboard i realtid.

Traditionel vs automatiseret pentest

Her er det fulde billede. Brug denne tabel, når du skal præsentere business casen for ledelsen:

Parameter	Traditionel pentest	Automatiseret pentest (NodeZero)
Pris per test	150.000 til 400.000 kr.	Inkluderet i abonnement
Årlig totalpris (typisk)	400.000 til 700.000 kr.	Fast abonnement
Antal tests per år	1 til 2	Ubegrænset (52+ mulige)
Pris per test (effektiv)	200.000 til 400.000 kr.	Falder med hver test
Testens varighed	1 til 3 uger	4 til 8 timer
Tid til rapport	2 til 4 uger efter test	Real-time (under testen)
Total tid fra start til handlingsbar indsigt	3 til 7 uger	Same-day
Scope per test	Begrænset (aftalt forud)	Fuld infrastruktur
Intern infrastruktur	(separat scope)	Inkluderet
Ekstern angrebsflade	(separat scope)	Inkluderet
Cloud (AWS/Azure)	Ofte separat engagement	Inkluderet
Webapplikationer	Separat test og pris	Inkluderet
Active Directory audit	Separat test	Inkluderet
Genvalidering af fixes	30.000 til 80.000 kr. per gang	Quick Verify inkluderet
Angrebssti-visualisering	Sjældent (PDF-rapport)	Interaktivt dashboard
Proof of exploit	Varierer	Dokumenteret per fund
Konsistens	Afhænger af tester	Reproducerbart, identisk metodik
Skalerbarhed	Lineær pris per scope	Flad pris, alle scopes
Compliance-dokumentation	1 til 2 rapporter/år	Kontinuerlig audit trail
NIS2 Art. 21(f) dækning	Punktvis	Løbende effektivitetsvurdering
Phishing impact test	Separat engagement	Inkluderet
AD Password Audit	Separat engagement	Inkluderet
Cloud (AWS/Azure) pivoting	Sjældent testet	Automatisk

De skjulte omkostninger ved traditionel pentest

Prisen på fakturaen er kun en del af regnestykket. De reelle omkostninger gemmer sig i alt det, der sker mellem og omkring testene:

1. Ventetid på rapport

Du bestiller en pentest i uge 10. Testen kører i uge 14 til 16. Rapporten lander i uge 20. Dine udviklere begynder at kigge på den i uge 22. Det er tre måneder fra beslutning til handling. I de tre måneder har en angriber adgang til de samme sårbarheder, som testeren fandt.

2. Re-engagement for gentest

Du har fikset de kritiske fund. Men virker rettelserne? Den eneste måde at vide det på er at bestille en ny test, eller i bedste fald en re-test af de specifikke fund. Det koster 30.000 til 80.000 kr. og tager 2 til 4 uger at planlægge. Mange virksomheder springer dette skridt over. Fundene bliver “lukket” i et Excel-ark uden verifikation.

3. Begrænset scope = falsk tryghed

En pentest der kun dækker 50 IP-adresser i et netværk med 500, giver dig ikke et billede af din sikkerhed. Den giver dig et billede af 10% af din sikkerhed. De resterende 90% er ukendt territorium, for dig. Ikke for en angriber.

4. Tidspunktet er altid forkert

Du tester i marts. I april ruller dit team en ny applikation ud. I juni migrerer I en workload til Azure. I september skifter I VPN-løsning. Ingen af disse ændringer er dækket af marts-testen. Du flyver blindt 10 til 11 måneder om året.

5. Intern koordineringsomkostning

Traditionel pentest kræver betydelig intern koordinering: scope-afklaring, adgangsopsætning, kontaktpersoner, møder under testen, rapportgennemgang, prioritering af fund, allokering af udviklertimer til remediation. Konservativt estimat: 40 til 80 interne timer per engagement.

Samlet skjult omkostning per år:

ROI-beregning: Hvad koster det IKKE at penteste?

Her er det egentlige spørgsmål. Pentest er ikke en omkostning, det er en forsikring. Og som enhver forsikring skal den vurderes mod det, den beskytter imod.

Gennemsnitlig omkostning ved et databrud

IBM’s Cost of a Data Breach Report 2024 sætter den gennemsnitlige globale omkostning ved et databrud til $4,88 mio. (ca. 34 mio. kr.). For europæiske virksomheder er tallet lavere, men stadig betydeligt, typisk 15 til 25 mio. kr. for en mellemstor virksomhed.

NIS2-bøder

• Væsentlige enheder: Op til €10 mio. eller 2% af global årsomsætning
• Vigtige enheder: Op til €7 mio. eller 1,4% af global årsomsætning
• I dansk kontekst: op til 75 mio. kr.
• Dertil kommer: personligt ledelsesansvar, mulig suspension af services, offentliggørelse

Nedetid

Gennemsnitlig nedetid efter et ransomware-angreb: 22 dage (Coveware, 2024). For en virksomhed med 100 mio. kr. i årlig omsætning er det:

• 22 dage × 274.000 kr./dag = ca. 6 mio. kr. i tabt omsætning
• Plus: genopretning, krisekommunikation, juridisk bistand, tab af kundetillid

Det simple regnestykke

Spørgsmålet er ikke, om du har råd til at teste. Spørgsmålet er, om du har råd til at lade være.

Og her er en detalje, der ofte overses i regnestykket: med den rigtige platform får du ikke bare pentest-resultater, du får compliance-rapporter inkluderet. Med OpinioSec Compliance & Security Portal (OCSP) mappes fund automatisk mod dine kontrolkrav via et live compliance-dashboard. NIS2, ISO 27001, DORA og 250+ andre frameworks. Fem rapporttyper (Pentest-historik, Sikkerhedsposition, Kronjuvel-eksponering, Compliance-audit, Executive Summary) genereres on-demand på under 60 sekunder som PDF eller Excel. Du slipper for den separate konsulentydelse til compliance-dokumentation. Én platform, der både validerer din sikkerhed og leverer auditerbar dokumentation.

NIS2 Artikel 21(f): kravet du ikke kan ignorere

NIS2 kræver specifikt, at virksomheder har “politikker og procedurer til at vurdere effektiviteten af cybersikkerhedsforanstaltninger”. Det er Artikel 21, stk. 2, litra (f).

Hvordan beviser du, at dine sikkerhedsforanstaltninger virker? Du kan skrive politikker. Du kan lave audits. Men den mest direkte og troværdige metode er at lade nogen, eller noget, forsøge at bryde igennem dem.

Én årlig pentest opfylder minimumskravet. Kontinuerlig automatiseret pentest dokumenterer løbende, at dine kontroller virker. Forskellen er afgørende, hvis tilsynsmyndigheden banker på døren efter en hændelse.

Hvorfor skiftet til automatiseret pentest er uundgåeligt

Den optimale model for de fleste virksomheder:

Dér hvor du før brugte 400.000-700.000 kr. årligt på periodiske konsulentengagements og stadig fløj blindt det meste af året, får du nu kontinuerlig validering, compliance-dokumentation og realtids-alarmer i én samlet løsning.

Opsummering: Pentest pris

345 dage i blinde. Det er prisen for at nøjes med traditionel pentest alene.

Næste skridt

Du behøver ikke tage vores ord for det. NodeZero kan vise dig, hvad en angriber ser i jeres netværk, på timer, ikke uger.

Book en gratis demo og se hvad NodeZero finder i jeres infrastruktur. Ingen forpligtelser. Ingen agents. Ingen overraskelser, ud over dem, NodeZero finder for jer.

Eller ring til os på +45 77 34 56 40, vi taler gerne tal, ROI og NIS2-compliance.

Ofte stillede spørgsmål om pentest-priser

Læs også

• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke er nok
• NIS2 krav: Personligt ansvar for bestyrelsen
• Se NodeZero produktside →
• NodeZero i praksis: Sådan kører vi en autonom pentest på under 4 timer
• NIS2-compliance selv: Validér din sikkerhed uden dyre konsulenter
• IT Sikkerhedstest: 5 Metoder til at Validere Din Cybersikkerhed

OpinioSec er Nordens mest erfarne NodeZero-leverandør og eneste danske Horizon3.ai Guld-partner. Vi kombinerer licens, rådgivning og drift i én samlet løsning. og hjælper virksomheder med at bevise, at deres sikkerhed virker, ikke bare at den eksisterer.

The post Pentest pris: Automatiseret vs. traditionel – hvad får du for pengene? appeared first on Opiniosec.

En årshjul skabelon er et centralt værktøj for teams, der vil skabe struktur og overblik over årets aktiviteter. Alligevel ender mange med en skabelon, der er svær at holde ved lige og hurtigt bliver forældet. Det sker typisk, når årshjulet ligger i Excel eller som en lokal fil, hvor kun få kan opdatere indholdet, og hvor samarbejde er begrænset.

En god årshjul skabelon skal ikke bare vise aktiviteter på et år. Den skal understøtte den måde, organisationen arbejder på: hvem der planlægger, hvem der udfører, og hvordan ændringer kommunikeres.

Hvorfor mange årshjul skabeloner mister deres værdi

Det største problem med traditionelle skabeloner er manglen på fælles adgang. Når en fil sendes rundt eller ligger på en lokal disk, opstår der flere versioner, og ingen ved, hvilken der er den nyeste. Det gør planlægning langsom og øger risikoen for fejl.

Derudover kan tilbagevendende aktiviteter være svære at vedligeholde. Gentagelser, farver, kategorier og ændringer kræver ofte manuel redigering, som tager tid og skaber uensartethed fra år til år. Det gør årshjulet mindre brugbart i praksis, især når mange personer skal arbejde i det samtidig.

Hvad en moderne årshjul skabelon bør kunne

En årshjul skabelon fungerer bedst, når den kan tilpasses løbende. Det kræver klare kategorier, mulighed for gentagelser og en visning, der giver et reelt overblik uden ekstra forklaringer. Samtidig skal det være nemt for flere personer at samarbejde, så opdateringer kan ske, mens planerne udvikler sig.

Når skabelonen ligger i Microsoft Teams, får organisationen et fælles sted at arbejde. Det øger transparensen og sikrer, at alle ser den samme version af året. Det er særligt nyttigt for HR, marketing, ledelse og projekter, hvor årsplanlægning ændrer sig undervejs.

Årshjul skabelon direkte i Teams

I stedet for at arbejde i Excel vælger mange at samle deres årshjul i Microsoft 365, hvor samarbejdet allerede foregår. Med PlanIt kan et team bygge årshjulet direkte i Teams og bruge egne farver, kategorier, serier og gentagelser. Det gør planlægningen mere dynamisk, fordi årshjulet ikke længere er en fil, men et fælles værktøj.

Når en aktivitet kan konverteres til en opgave og kobles til Planner, bliver årshjulet ikke kun et overblik, men en del af arbejdsprocessen. Det giver en bedre sammenhæng mellem planlægning og udførelse.

Sådan kommer du videre

Hvis din organisation arbejder med mange gentagende aktiviteter, eller hvis I har brug for et mere fælles overblik, kan en moderne årshjul skabelon i Teams være en betydelig forbedring. Det giver plads til løbende justeringer, gør det lettere at samarbejde og sikrer, at årshjulet faktisk bliver brugt som det centrale planlægningsværktøj, det er tiltænkt.

Prøv PlanIt:

https://enable365.ai/da/register/planit/

Læs mere om PlanIt:

https://opiniosec.com/planit/

Seneste blogs

• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke længere er nok
• NIS2 krav: Din bestyrelse hæfter personligt for cybersikkerhed
• Pentest pris: Automatiseret vs. traditionel, hvad får du for pengene?
• Årshjul skabelon – sådan får du styr på årets planlægning
• Pen test i 2026: Derfor vælger flere virksomheder automatiseret pentest

–>*}

Prøv PlanIt gratis i 30 dage

Digitalt årshjul direkte i Microsoft Teams. Fælles planlægning, gentagende opgaver og visuelt overblik.

Book møde →

Læs også

• Guide til årshjul i 5 trin
• Årshjul i Excel vs Teams
• Se PlanIt produktside →
• Sådan laver du et årshjul til skole med PlanIt
• Digitalt årshjul for bedre IT sikkerhed
• Introduktion til PlanIt: Effektiv årsplanlægning

Sådan kommer du videre

Hvis din organisation arbejder med mange gentagende aktiviteter, eller hvis I har brug for et mere fælles overblik, kan en moderne årshjul skabelon i Teams være en betydelig forbedring. Det giver plads til løbende justeringer, gør det lettere at samarbejde og sikrer, at årshjulet faktisk bliver brugt som det centrale planlægningsværktøj, det er tiltænkt.

Prøv PlanIt:

https://enable365.ai/da/register/planit/

Læs mere om PlanIt:

https://opiniosec.com/planit/

Seneste blogs

• Kontinuerlig penetrationstest: Hvorfor årlig pentest ikke længere er nok
• NIS2 krav: Din bestyrelse hæfter personligt for cybersikkerhed
• Pentest pris: Automatiseret vs. traditionel, hvad får du for pengene?
• Årshjul skabelon – sådan får du styr på årets planlægning
• Pen test i 2026: Derfor vælger flere virksomheder automatiseret pentest

The post Årshjul Skabelon: Gratis Eksempler og Bedre Planlægning appeared first on Opiniosec.