NIS2
EU-direktiv om cybersikkerhed, i Danmark gennemført ved NIS 2-loven fra 1. juli 2025. Det omfatter virksomheder i bestemte sektorer over en vis størrelse.
Kort svar
NIS2 er EU’s direktiv om et højt fælles cybersikkerhedsniveau. I Danmark er det gennemført ved NIS 2-loven (lov nr. 434 af 6. maj 2025), som trådte i kraft 1. juli 2025. Loven omfatter virksomheder af bestemte typer i sektorer som energi, transport, sundhed, digital infrastruktur, IT-driftsydelser, affald, fødevarer og visse former for fremstilling – som udgangspunkt kun dem med mindst 50 ansatte eller en omsætning og balance over 10 mio. euro. Mange mindre virksomheder er ikke direkte omfattet, men kan møde kravene gennem kunder.
- Tidlig varslingSenest 24 timer efter, at enheden har fået kendskab til hændelsen.
- HændelsesunderretningSenest 72 timer efter: første vurdering af alvor og indvirkning.
- Foreløbig rapportStatusopdateringer, hvis CSIRT'en beder om det.
- Endelig rapportSenest 1 måned efter hændelsesunderretningen: årsag og tiltag.
Hvem er omfattet?
Det afgøres af to ting: hvilken type virksomhed I er, og hvor store I er. Typerne står i lovens bilag 1 (sektorer af særlig kritisk betydning) og bilag 2 (andre kritiske sektorer). Størrelsen afgør, om I er en væsentlig eller en vigtig enhed – eller slet ikke omfattet.
- Sundhed: Sundhedstjenesteydere står i bilag 1. En klinik eller et lægehus er derfor omfattet, hvis størrelsesgrænserne er nået – men ikke, hvis den er mindre.
- Fremstilling: Bilag 2 omfatter fx fremstilling af medicinsk udstyr, computere og elektronik, elektrisk udstyr, maskiner og køretøjer.
- IT-leverandører: Udbydere af administrerede IT- og sikkerhedstjenester (»managed services«) står i bilag 1 under forvaltning af IKT-tjenester.
- Særlove: Dele af energi-, tele- og finanssektoren er reguleret af andre love med tilsvarende krav.
| Kategori | Typer (eksempler) | Størrelse |
|---|---|---|
| Væsentlig enhed | Bilag 1: fx energi, transport, sundhed, drikkevand, digital infrastruktur, IKT-driftsydelser | Mindst 250 ansatte eller omsætning over 50 mio. euro og balance over 43 mio. euro |
| Vigtig enhed | Bilag 1 eller 2: fx også post, affald, kemikalier, fødevarer, visse former for fremstilling | Mindst 50 ansatte eller omsætning og balance over 10 mio. euro hver |
| Uanset størrelse | Fx DNS-udbydere, tillidstjenester og enheder, myndighederne udpeger som kritiske | Ingen nedre grænse |
Godt at vide: Styrelsen for Samfundssikkerhed henviser til et selvtjek, hvor virksomheder kan undersøge, om de er omfattet. Hver sektor har sin egen kompetente myndighed, som fører tilsyn.
Hvad kræver loven?
Omfattede virksomheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risici i deres net- og informationssystemer (§ 6). Loven nævner som minimum:
- politikker for risikoanalyse og informationssikkerhed
- håndtering af hændelser
- driftskontinuitet, herunder backup, reetablering efter en katastrofe og krisestyring
- sikkerhed i forsyningskæden, dvs. i forholdet til direkte leverandører
- sikkerhed ved indkøb, udvikling og vedligehold af systemer, herunder håndtering af sårbarheder
- vurdering af, om foranstaltningerne virker
- grundlæggende cyberhygiejne og uddannelse i cybersikkerhed
- brug af kryptografi og kryptering, hvor det er relevant
- personalesikkerhed, adgangskontrol og styring af aktiver
- multifaktorautentificering, sikret kommunikation og sikrede nødkommunikationssystemer, hvor det er relevant
Ledelsens ansvar
NIS 2-loven placerer ansvaret hos ledelsesorganet – typisk bestyrelsen eller direktionen. Ledelsesorganet skal godkende sikkerhedsforanstaltningerne og føre tilsyn med, at de gennemføres, og dets medlemmer skal deltage i relevante kurser om styring af cybersikkerhedsrisici (§ 7). Cybersikkerhed bliver dermed et ledelsesspørgsmål, ikke kun en opgave for IT-leverandøren. Se også IT-governance.
Registrering og varsling
Væsentlige og vigtige enheder skal registrere sig hos den relevante myndighed senest to uger efter, at de bliver omfattet af loven (§ 10). Ved en væsentlig hændelse – en hændelse, der kan give alvorlige driftsforstyrrelser eller økonomiske tab, eller som kan skade andre – skal myndigheden og CSIRT’en (den nationale enhed for hændelseshåndtering) have besked efter tidsfristerne i diagrammet ovenfor (§§ 12-13). Ifølge Styrelsen for Samfundssikkerhed sker indberetningen via virk.dk.
Bemærk, at NIS2-varslingen kommer oven i eventuelle andre pligter. Er der personoplysninger involveret, kan der også være pligt til at anmelde et brud til Datatilsynet efter GDPR.
Når I ikke er omfattet – men jeres kunder er
Fordi omfattede virksomheder skal sikre deres forsyningskæde, stiller de ofte krav til deres leverandører. En mindre virksomhed kan derfor blive bedt om at dokumentere sin IT-sikkerhed, selv om den ikke selv er omfattet af loven.
Eksempel: En maskinfabrik med 30 ansatte leverer reservedele til et energiselskab. Fabrikken er ikke selv omfattet, men energiselskabet sender et spørgeskema om MFA, backup, opdateringer og beredskabsplan. Har fabrikken allerede et overblik og en kort beskrivelse af sin sikkerhed, kan spørgsmålene besvares på en eftermiddag.
Spørgsmål I kan stille
- Hører vores virksomhed til en af typerne i NIS 2-lovens bilag 1 eller 2?
- Har vi 50 ansatte eller mere – eller en omsætning og balance over grænserne?
- Stiller vores kunder krav til vores IT-sikkerhed som led i deres forsyningskæde?
- Kan vi dokumentere MFA, backup, opdateringer, adgangsstyring og beredskab?
- Ved ledelsen, hvad den skal godkende og følge op på, hvis vi er omfattet?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp til IT-delen, når en kunde beder jer dokumentere jeres sikkerhed, eller når I er omfattet og skal have MFA, backup, opdateringer, logning og beredskab på plads og beskrevet. Furesø Data kan hjælpe med det tekniske grundlag; vurderingen af, om I er omfattet, bør ske ud fra lovens bilag og jeres sektormyndigheds vejledning.
Spørgsmål og svar
Er vi omfattet af NIS2?
Det afhænger af sektor og størrelse. Tjek, om jeres type virksomhed står i bilag 1 eller 2 til NIS 2-loven, og om I har mindst 50 ansatte eller en omsætning og balance over 10 mio. euro. Er I i tvivl, kan den kompetente myndighed for jeres sektor hjælpe.
Hvad bør vi gøre, hvis en kunde stiller NIS2-krav til os?
Få overblik over jeres sikkerhed, beredskab og leverandører, og skriv kort ned, hvad I har på plads. Svar konkret på kundens spørgsmål, og vær ærlig om, hvad der mangler, og hvornår det er klar.
Kræver NIS2 bestemte produkter eller licenser?
Nej. Loven stiller krav til foranstaltninger som MFA, backup og hændelseshåndtering, men ikke til bestemte produkter. Hvordan kravene opfyldes, afhænger af jeres risici og systemer.
Forbehold: Opslaget er en generel forklaring, ikke juridisk rådgivning, og tager ikke stilling til, om en bestemt virksomhed er omfattet. Reglerne står i NIS 2-loven (lov nr. 434 af 6. maj 2025) med bilag og tilhørende bekendtgørelser; sektormyndighederne vejleder om, hvordan de skal forstås.
Kilder (tjekket 31. oktober 2026)