NIS2-krav i Danmark

Hvem er omfattet?

To ting afgør, om NIS 2-loven gælder for jer: sektor og størrelse. Nogle enheder er dog omfattet uanset størrelse på grund af deres særlige betydning.

Sektorer

Loven opdeler sektorerne i to bilag. Bilag 1 dækker sektorer af særlig kritisk betydning. Bilag 2 dækker andre kritiske sektorer.³

I skal registrere jer selv

Vurderingen er jeres egen. Registreringen sker digitalt gennem virk.dk.^8,9

Væsentlige og vigtige enheder skal registrere sig senest to uger efter, at de bliver omfattet af loven. Digitale udbydere — DNS, topdomæner, cloud, datacentre, indholdsleveringsnetværk, administrerede tjenester og lignende — har tre måneder.⁸

For enheder, der var omfattet fra lovens ikrafttræden, var fristen den 1. oktober 2025. Den frist er overskredet, men pligten består. Har I ikke registreret jer, skal I stadig gøre det.¹⁰

Ændrer oplysningerne sig, skal I give besked inden for de samme frister.⁸

De 10 krav

Loven kræver passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Som minimum skal de omfatte disse 10 områder:¹¹

• Politikker for risikoanalyse og informationssystemsikkerhed
• Håndtering af hændelser
• Driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring
• Forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere
• Sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse, herunder håndtering og offentliggørelse af sårbarheder
• Politikker og procedurer til vurdering af foranstaltningernes effektivitet
• Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse
• Politikker og procedurer for kryptografi og, hvor det er relevant, kryptering
• Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver
• Multifaktorautentificering eller kontinuerlig autentificering samt sikret kommunikation

Opfylder I ikke et eller flere af kravene, skal I uden unødigt ophold træffe de nødvendige korrigerende foranstaltninger.¹¹

Frister ved væsentlige hændelser

I skal underrette den kompetente myndighed og CSIRT'en om enhver væsentlig hændelse.¹⁴

En hændelse er væsentlig, hvis den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for jer, eller hvis den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.¹⁴

Et større nedbrud kan tælle med, også når der ikke har været et angreb. Styrelsen for Samfundssikkerhed har udgivet en vejledning, der uddyber kriterierne med eksempler.¹⁵

For digitale udbydere er tærsklen fastsat direkte i EU-retten. Det gælder udbydere af cloud, datacentre, indholdsleveringsnetværk, administrerede tjenester og administrerede sikkerhedstjenester samt DNS-tjenester, topdomæner, onlinemarkedspladser, onlinesøgemaskiner, sociale netværkstjenester og tillidstjenester. For dem alle er en hændelse væsentlig, hvis den har medført eller kan medføre et direkte økonomisk tab på over 500.000 euro eller 5 % af den årlige omsætning, alt efter hvad der er lavest.¹⁶

For udbydere af administrerede tjenester og administrerede sikkerhedstjenester gælder fire yderligere kriterier.¹⁶ En hændelse er også væsentlig, hvis et af følgende forhold gør sig gældende:

1. Tjenesten er helt utilgængelig i mere end 30 minutter
2. Tilgængeligheden er begrænset for mere end 5 % af brugerne i EU eller for over en million brugere, alt efter hvad der er lavest, i mere end en time
3. Dataenes integritet, fortrolighed eller autenticitet er kompromitteret som følge af en formodet ondsindet handling
4. Dataenes integritet, fortrolighed eller autenticitet er kompromitteret på en måde, der påvirker mere end 5 % af brugerne i EU eller over en million brugere, alt efter hvad der er lavest

Planlagt vedligeholdelse tæller ikke med, heller ikke når tjenesten er nede. Og mindre hændelser kan lægges sammen: to eller flere med samme tilsyneladende grundlæggende årsag inden for seks måneder behandles som én væsentlig hændelse, hvis de tilsammen overskrider tærsklen for økonomisk tab.¹⁶

En væsentlig hændelse udløser tre frister:¹⁷

• Senest 24 timer — en tidlig varsling, som angiver, om hændelsen mistænkes at være forårsaget af ulovlige eller ondsindede handlinger, og om den kan have grænseoverskridende virkning
• Senest 72 timer — en hændelsesunderretning, som ajourfører den tidlige varsling med en indledende vurdering af hændelsens alvor og indvirkning samt kompromitteringsindikatorer, hvis de foreligger
• Senest én måned — en endelig rapport med en detaljeret beskrivelse af hændelsen, den sandsynlige grundlæggende årsag, de anvendte afbødende foranstaltninger og eventuelle grænseoverskridende virkninger

Månedsfristen løber fra fremsendelsen af hændelsesunderretningen, ikke fra hændelsen selv. Pågår hændelsen stadig, indsender I i stedet en statusrapport og derefter en endelig rapport senest én måned efter, at hændelsen er håndteret. CSIRT'en kan desuden anmode om en foreløbig rapport undervejs.¹⁷

Tillidstjenesteudbydere har kortere frist. De skal sende hændelsesunderretningen senest 24 timer efter, at de har fået kendskab til hændelsen.¹⁷

Hvornår begynder fristen

Begge frister løber fra samme tidspunkt: fra I får kendskab til den væsentlige hændelse. De 72 timer begynder ikke, når de 24 timer er udløbet.¹⁷

Når I opdager en mistænkelig hændelse, eller en tredjepart gør jer opmærksom på en, skal I vurdere den rettidigt for at afgøre, om der er tale om en hændelse, og hvor alvorlig den er. I har fået kendskab — og tiden løber — når den vurdering giver en rimelig grad af sikkerhed for, at der er sket en væsentlig hændelse. At udskyde vurderingen udskyder ikke fristen. Rejser jeres SOC en alarm klokken to om natten, og ingen med mandat til at vurdere den ser på sagen før næste arbejdsdag, er størstedelen af de 24 timer gået, allerede før vurderingen begynder.¹⁶

Jævnfør vores erfaring kræver det veletablerede procedurer og en person med mandat til at træffe afgørelsen, som kan nås på alle tidspunkter af døgnet.

Frivillig fører tilsyn?

Enheder, der ikke er omfattet af loven, kan frivilligt underrette CSIRT'en om hændelser, nærvedhændelser og cybertrusler. Frivillige underretninger er undtaget fra aktindsigt.¹⁸

Hvem fører tilsyn?

Tilsynet er delt op efter sektor. Bekendtgørelsen om udpegning af kompetente myndigheder udpeger 10 myndigheder.⁹

Styrelsen for Samfundssikkerhed fører tilsyn med kommunerne og den centrale forvaltning. Sundhedsdatastyrelsen dækker regionerne, sundhedssektoren og fremstilling af medicinsk udstyr. Digitaliseringsstyrelsen dækker den digitale sektor og dele af fremstillingsvirksomhed. Derudover er Trafikstyrelsen, Søfartsstyrelsen, Miljøstyrelsen, Fødevarestyrelsen, Uddannelses- og Forskningsstyrelsen, Klimadatastyrelsen og Energistyrelsen udpeget for hver deres områder.⁹

Leverer I flere typer tjenester, kan I være omfattet af mere end én myndighed. I foretager dog kun én samlet registrering på virk.dk, hvor I angiver alle de NIS 2-omfattede sektorer, I er aktive i.²⁵

Tilsynet er i gang. Styrelsen for Samfundssikkerhed indledte i maj 2026 et surveybaseret tilsyn med alle 98 kommuner og udvælger et antal af dem til dybere tilsyn. Tilsynsplanen for 2026 og 2027 omfatter kommuner, statslige myndigheder, dybdegående tilsyn med udvalgte enheder og kontrol med, hvem der har registreret sig.¹⁹

Kravene rammer også leverandører?

Forsyningskædesikkerhed er et af de 10 krav, og det betyder, at kravene føres videre til leverandører, der ikke selv er omfattet.

Det Fælleskommunale Databehandlersekretariat har for eksempel overtaget NIS2-tilsynet med leverandører på vegne af sine 76 medlemskommuner, herunder tilsyn med leverandører, som loven ikke gælder for direkte.²⁰

Den praktiske konsekvens er, at leverandører bliver bedt om at leve op til sikkerhedskrav, der står i forhold til den tjeneste, de leverer, og dens risici, og dokumentere dem.¹¹