Få overblik over NIS2, så du kan leve op til de nye krav

Formålet med NIS2 er at styrke og ensarte cybersikkerheden og modstandsdygtigheden overfor cybertrusler på tværs af EU for virksomheder og offentlige myndigheder, der anses for at være kritiske for den danske økonomi og samfund.

NIS2 stiller blandt andet krav om gennemførelse af cybersikkerhedsforanstaltninger som adgangskontrol og kryptering, hændelsesrapportering og procedurer i forbindelse med en cyberhændelse. Derudover giver styrkede tilsyns- og håndhævelsesbeføjelser.

Væsentlige enheder:

• Energi
• Sundhed
• Transport
• Banker og finansiel infrastruktur
• Drikke- og spildevand
• Digital infrastruktur
• Rummet
• Offentlig administration

Vigtige enheder:

• Post- og kurertjenester
• Affaldshåndtering
• Kemikalier
• Fødevarevirksomheder Produktionsvirksomheder
• Digitale serviceudbydere
• Forskning

Virksomheder der er leverandører til en NIS2-påvirket virksomhed, kan I også forvente at blive ramt på grund af et styrket kædeansvar.

NIS2 trådte i kraft i Danmark den 1. juli 2025.

For at sikre at du er forberedt til at leve op til de skærpede NIS2-krav, er det en god idé at alliere sig med nogle, der kender og forstår direktivet og processen. Det gør vi, og vi kan hjælpe både med rådgivning og implementering af NIS2-direktivet. Snak med en konsulent

Ja, hvis I både opererer i en af sektorerne i NIS2-lovens bilag 1 eller 2 og har mindst 50 ansatte — eller en årlig omsætning og balance på over 10 mio. euro hver. Nogle typer virksomheder er omfattet uanset størrelse, blandt andre DNS-udbydere og kvalificerede tillidstjenester. Er I underleverandør til en omfattet virksomhed, møder I kravene indirekte gennem forsyningskæden.

Størrelsen afgør det. En væsentlig enhed har mindst 250 ansatte, eller en omsætning over 50 mio. euro og en balance over 43 mio. euro. En vigtig enhed når ikke de tærskler, men har mindst 50 ansatte eller over 10 mio. euro i både omsætning og balance. Kravene er de samme — forskellen ligger i tilsynet, som er proaktivt for væsentlige enheder og reaktivt for vigtige.

Det afhænger af, hvor I står i forvejen. En GAP-analyse, der kortlægger afstanden mellem lovens krav og jeres nuværende sikkerhedsniveau. Selve implementeringen prissættes først, når analysen ligger, fordi omfanget varierer enormt — en virksomhed med et modent ISO-fundament har markant kortere vej end en, der starter forfra.

Danmark har valgt en decentral model, så der er ingen central NIS2-myndighed. De sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 2. juni 2025, og det er den myndighed, der gælder for jeres sektor, I både registrerer jer hos, underretter ved hændelser og bliver ført tilsyn af.

En tidlig varsling skal sendes uden unødigt ophold og senest 24 timer efter, I har fået kendskab til hændelsen. En fuld hændelsesunderretning følger senest 72 timer efter, og den endelige rapport senest en måned efter underretningen. Underretningen sker både til den kompetente myndighed og til CSIRT'en.

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af jeres tjenester eller økonomiske tab for virksomheden — eller hvis den har påvirket eller kan påvirke andre fysiske eller juridiske personer ved at volde betydelig skade. Vurderingen skal foretages hurtigt, fordi 24-timersuret starter ved kendskab, ikke ved konklusion.

Nej. ISO 27001 er frivillig og er ikke et krav i NIS2-loven. Men standarden dækker størstedelen af lovens ti risikostyringstiltag, så har I certificeringen, har I et velegnet fundament at dokumentere efterlevelsen på. Omvendt er certifikatet ikke i sig selv bevis for NIS2-efterlevelse.

Ikke nødvendigvis direkte — men i praksis mærker I kravene alligevel. Forsyningskædesikkerhed er et af lovens ti obligatoriske tiltag, så jeres NIS2-omfattede kunder skal forholde sig til sikkerheden hos deres direkte leverandører. Regn med krav i kontrakter, spørgeskemaer og revisionsklausuler, selv om I ikke selv er en omfattet enhed.

Nej. I kan outsource opgaven, men ikke ansvaret. Det er jeres ledelsesorgan, der skal godkende sikkerhedsforanstaltningerne og føre tilsyn med gennemførelsen, og det er jer, myndigheden kommer til. En leverandør kan levere løsningen, dokumentationen og driften, men beslutningerne og ansvaret bliver hos jer.

Fristen for at indgive oplysninger efter NIS2-lovens §§ 9 og 10 var den 1. oktober 2025, og manglende indgivelse er strafsanktioneret. Start med at få afklaret, om I er omfattet, og hvilken myndighed der er jeres. Er I omfattet, bør registreringen ske hurtigst muligt og det er også signalet om at komme i gang med resten af kravene.