Hvilke pligter følger af NIS2 for danske virksomheder?

Hvem har pligter efter NIS2 – direkte og gennem leverandørkæden

NIS2 er EU-direktivet (EU) 2022/2555. I Danmark er det gennemført med lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (lov nr. 434 af 6. maj 2025), der trådte i kraft 1. juli 2025. Ifølge Legiscope pålægger loven omkring 6.000 danske virksomheder krav om risikostyring, incidentrapportering, ledelsesansvar og kontrol med leverandørkæden. Pligterne gælder ikke alle: Loven skelner mellem væsentlige og vigtige entiteter.

Væsentlige entiteter omfatter ifølge Legiscope bl.a. energi, transport, bankvæsen, finansiel markedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur og offentlig forvaltning. Vigtige entiteter omfatter bl.a. post- og kurertjenester, affaldshåndtering, fremstilling, fødevareproduktion og -distribution samt digitale udbydere. Forskellen ligger primært i tilsynets intensitet og sanktionsniveauet – ikke i sikkerhedskravene, som er de samme.

Tærsklen er som udgangspunkt mellemstore virksomheder og opefter: mindst 50 ansatte eller en årsomsætning over 10 mio. euro. Visse sektorer er omfattet uanset størrelse. Ifølge Legiscope skulle omfattede virksomheder selv registrere sig hos den relevante myndighed senest den 1. oktober 2025. Samme kilde skriver, at mange overså den pligt.

For SMV'er uden direkte omfattelse bliver NIS2 ofte relevant indirekte gennem leverandørkæden. Det gælder ikke som selvstændige NIS2-pligter, men fordi en kunde, der er underlagt direktivet, ifølge Cedra skal stille krav til sin egen leverandørkæde.

I praksis møder leverandøren det som »kunden vil have en ISAE 3000-erklæring«, »kunden vil ind og auditere os« eller »kunden vil have hændelsesrapportering«. Lekon beskriver tilsvarende, at underleverandører til kritiske sektorer kan være omfattet og skal kunne dokumentere cybersikkerhed.

NIS2: Omfattede virksomheder og registreringsfrist i Danmark

Ledelsens ansvar: godkendelse, uddannelse og personligt ansvar

Cedra sammenligner NIS2's ledelsesansvar med GDPR. Det indebærer et personligt ledelsesansvar med mulighed for bødeansvar. Bestyrelse og direktion skal desuden gennemgå uddannelse i cybersikkerhed.

Kromann Reumert formulerer det som, at reglerne sætter en streg under det ansvar, som professionelle ledelsesmedlemmer har for at godkende og føre tilsyn med cyberrisici. Ifølge samme kilde skal ledelse og organisation dels forstå den konkrete cybertrussel i kontekst af virksomhedens samlede omstændigheder, dels iværksætte passende, effektive skridt på et veloplyst grundlag.

DNV fremhæver, at virksomhedsledelsen skal vise engagement og støtte i forhold til cybersikkerhed og etablere klare politikker og procedurer. Lekon beskriver ledelsesforankring som, at ledelsen forstår kravene og kan tage det nødvendige ansvar.

Godkendelsen skal kunne dokumenteres: Risikovurdering, sikkerhedspolitikker og beredskabsplaner skal fremgå som beslutninger på ledelsesniveau med angivelse af, hvem der godkendte hvad og hvornår. Deltagelse i uddannelsesforløb bør ligeledes fremgå af referater eller lignende.

Risikostyring som grundpligt – ikke kun et teknisk projekt

Den bærende pligt er risikostyring efter NIS2's artikel 21. Ifølge Legiscope indeholder den ti minimumsforanstaltninger, herunder risikoanalyse, incidenthåndtering og kontinuitet. Dansk Industri beskriver, at NIS2 primært stiller 12 krav på en række områder. Dansk Industri anbefaler, at virksomheden begynder med én ting, der gør det øvrige arbejde lettere: risikovurderingen.

Bech-Bruun understreger, at omfattede organisationer skal agere risikobaseret og proaktivt i forhold til trusler mod deres net- og informationssystemer. Samme kilde påpeger, at trusler ikke kun kommer fra ondsindede angreb. De kan også bæres af medarbejdere gennem fejl eller uagtsomhed, af leverandører via kompromitterede systemer, af tekniske forhold som forældet software og af miljømæssige forhold som naturkatastrofer, der påvirker IT-infrastrukturen.

Blandt de foranstaltninger, der konkret nævnes i kilderne, er adgangskontrol og kryptering (Cedra). Cedra fremhæver desuden basal hygiejne som multifaktor-login, opdaterede systemer, segmenterede backups, anti-phishing og rollebaseret adgang. Kilden vurderer, at det stopper langt størstedelen af det, der i praksis rammer SMV'er.

Afgrænsningen af, hvad der er omfattet, er bred. Kromann Reumert beskriver net- og informationssystemer som alle fysiske og ikke-fysiske komponenter og tjenester, der bruges til at behandle data og informationer over internettet. Bech-Bruun beskriver den kritiske digitale og tekniske understøttelse af driften bredt, herunder netværk og digital infrastruktur samt IT, OT og andre systemer.

Risikostyringen er derfor ikke et isoleret IT-projekt, men en ledelsesforankret, dokumenteret proces. Processen knytter virksomhedens trusselsbillede til de konkrete foranstaltninger.

Hændelseshåndtering og rapportering: planer, roller og frister

Dansk Industri beskriver hændelseshåndtering som et selvstændigt krav, der dækker alle systemer og netværk. Det betyder, at der skal være klare planer for, hvordan en hændelse håndteres. Cedra nævner tilsvarende hændelseshåndtering som et af de centrale krav, sammen med rapportering af alvorlige hændelser inden for 24/72 timer.

En anvendelig hændelsesplan skal svare på, hvem man ringer til, hvad man informerer om, og hvordan roller og ansvar er fordelt. Cedra fremhæver netop disse spørgsmål som planens kerne. Dertil kommer beslutningen om eskalering – hvornår en hændelse behandles som alvorlig nok til at udløse rapportering til myndigheden – og hvem i organisationen der træffer den beslutning.

Dokumentationssiden skal følge med. Lekon beskriver krav om beredskabsplaner og beredskabsøvelser. Materialet bør samles i en struktur, der lever op til myndighedernes forventninger og er klar til tilsyn og eventuel audit.

For virksomheder, der kun er indirekte berørt gennem en kunde, er det ofte de samme elementer, der efterspørges: en skriftlig plan, en navngiven kontaktvej og en aftalt frist for at underrette kunden om brud.

Pligter i leverandørkæden: krav til underleverandører og samarbejdspartnere

Leverandørstyring er et selvstændigt NIS2-krav for omfattede virksomheder. Cedra beskriver, at en kunde, der er omfattet, skal stille krav til sin egen leverandørkæde – typisk i form af kontraktkrav, sikkerhedserklæringer, brudnotifikation, audit-rettigheder og dokumentation for kontroller. En NIS2-omfattet kunde skal dermed kunne kræve og efterprøve sikkerhedsniveauet hos sine leverandører og deres underleverandører.

Bech-Bruun peger på, at leverandører kan bære risici ind i den omfattede organisations systemer via kompromitterede systemer. Trusselsbilledet omfatter netop derfor leverandørrelationen. Det gør leverandørlisten til en del af risikovurderingen: Hvilke leverandører har adgang til net- og informationssystemer, hvilke har adgang til data, og hvad sker der, hvis en af dem kompromitteres.

For leverandøren selv er der en række praktiske forberedelser, som kilderne beskriver: kunne fremlægge sikkerhedsdokumentation, overholde aftalte frister for brudnotifikation og give kunden adgang til at auditere. Lekon fremhæver, at underleverandører til kritiske sektorer skal kunne dokumentere cybersikkerhed. En hensigtsmæssig tilgang er at stille samme type krav til sine egne leverandører, som man selv begynder at få fra sine kunder, så kravene i kæden bliver konsistente.

Dokumentation, registrering og tilsyn: sådan viser I efterlevelse

Registreringen er en selvstændig pligt. Ifølge Legiscope skulle omfattede virksomheder selv registrere sig hos den relevante myndighed senest den 1. oktober 2025. Samme kilde beskriver, at registreringen skal ske det rigtige sted, fordi tilsynet er delt.

SAMSIK (Styrelsen for Samfundssikkerhed) har det overordnede ansvar og koordinerer på tværs af sektorer. Digitaliseringsstyrelsen fører tilsyn med den digitale sektor, Energistyrelsen/Energinet med energisektoren, Sundhedsdatastyrelsen med sundhedssektoren og Trafikstyrelsen med transportsektoren. Ministeriet for Samfundssikkerhed og Beredskab er ressortministerium.

Legiscope fremhæver den delte tilsynsmodel som en dansk særegenhed sammenlignet med lande, der har samlet tilsynet i én cybersikkerhedsmyndighed. Kilden påpeger, at virksomheder med aktiviteter i flere sektorer kan skulle forholde sig til flere tilsynsmyndigheder samtidig. Første skridt er derfor at fastslå, hvilken sektormyndighed virksomheden hører under.

Dokumentationskravet er generelt: Bech-Bruun beskriver, at omfattede organisationer skal kunne dokumentere efterlevelse af direktivets skærpede krav og forpligtelser. Lekon anbefaler at samle materialet i én struktur, der lever op til myndighedernes forventninger og er audit-klar.

Risikovurdering, politikker, beredskabsplaner, registrering og leverandørkrav bør kunne fremlægges samlet. De bør kobles til de foranstaltninger, myndigheden spørger ind til.

Fra pligt til praksis: prioritering for danske SMV'er

Cedra anbefaler, at også ikke-direkte omfattede SMV'er bruger NIS2 som inspiration til basal cybersikkerhedshygiejne. Kilden fremhæver, at det både gør virksomheden mere robust og lettere at handle med. Cedra nævner bl.a. risikobaseret tilgang, basal hygiejne på plads, hændelseshåndtering og leverandørstyring.

Den basale hygiejne beskrives konkret som multifaktor-login, opdaterede systemer, segmenterede backups, anti-phishing og rollebaseret adgang.

En pragmatisk rækkefølge følger af kilderne: Begynd med risikovurderingen, som Dansk Industri peger på som det skridt, der gør det øvrige arbejde lettere, og som Legiscope placerer som første af minimumsforanstaltningerne. Fastlæg derefter, om virksomheden er direkte omfattet, og hvilken sektormyndighed den i givet fald hører under, så registreringen kommer på plads.

Byg den basale hygiejne op, og omsæt den i en hændelsesplan med roller, kontaktveje og en aftalt proces for rapportering efter de gældende frister. Afslut med leverandørstyringen – både de krav I selv skal stille, og dem I skal kunne besvare fra jeres kunder – og saml dokumentationen i én struktur, der kan fremlægges ved tilsyn eller audit.

Praktisk rækkefølge for danske SMV'er at implementere NIS2

Fordele og udfordringer ved NIS2 for danske SMV'er

Basal cybersikkerheds-hygiejne for SMV'er efter NIS2