Modul 9 · 9.1
NIS2 og NIS 2-loven
Modul 9: Regler og organisation · Læsetid: 11 minutter
Læringsmål: Efter denne lektion kan du forklare hvad NIS 2-loven (NIS2) regulerer, hvem den gælder for, og hvad den via leverandørkæden betyder for små virksomheder.
Nøglebegreber: NIS2, NIS 2-loven, væsentlig og vigtig enhed, sektor, størrelse, omsorgspligt, underretningspligt (24 timer, 72 timer, 1 måned), registreringspligt, leverandørkæde, selvevaluering
Fra europæisk direktiv til dansk lov
NIS2 er et europæisk direktiv fra 2022 (direktiv (EU) 2022/2555), som skal styrke den digitale modstandsdygtighed hos vigtige organisationer i hele EU. Et direktiv gælder ikke direkte: hvert land omsætter det til sin egen lov. I Danmark er det NIS 2-loven (lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau). Den trådte i kraft den 1. juli 2025. Hvis din organisation er omfattet, skal du leve op til kravene.
Ifølge det nederlandske NCSC er der over 8.000 organisationer, der er omfattet af den nederlandske lov. Det er en lille del af alle virksomheder. For de fleste små virksomheder er det vigtigste spørgsmål derfor ikke "skal jeg selv leve op til loven?", men "hvad kræver mine kunder af mig, fordi de selv er omfattet?". Det vender vi tilbage til.
I Danmark koordinerer Styrelsen for Samfundssikkerhed (SAMSIK) indsatsen, og du finder generel rådgivning til virksomheder på sikkerdigital.dk.
Er du omfattet? Sektor og størrelse
Om en organisation er omfattet af NIS 2-loven, afhænger af to spørgsmål.
1. Arbejder du i en sektor, der er nævnt i loven? Loven har to bilag.
| Bilag 1 (11 sektorer) | Bilag 2 (7 sektorer) |
|---|---|
| energi, transport, bankvæsen, drikkevand, digital infrastruktur, forvaltning af IKT-tjenester, rummet, infrastruktur på de finansielle markeder, sundhedssektoren, spildevand, offentlig forvaltning | digitale udbydere, post- og kurertjenester, affaldshåndtering, fødevarer, kemikalier, forskning, fremstillingsvirksomhed |
For nogle sektorer gælder der ekstra betingelser, som det ansvarlige ministerium fastsætter. Ikke enhver organisation, der beskæftiger sig med "fødevarer", er derfor automatisk omfattet.
2. Er du stor nok? Din organisation tæller med, hvis du:
- har 50 eller flere medarbejdere (årsværk), eller
- har færre end 50 medarbejdere, men din årsomsætning og balance begge ligger over 10 millioner euro.
Partner- og tilknyttede virksomheder tæller med. En virksomhed med 20 medarbejdere, der hører til en koncern på 200, kan derfor stadig være omfattet.
Undtagelser: uanset størrelse. Nogle typer organisationer er altid omfattet, uanset hvor små de er: DNS-udbydere, registre for topdomæner, udbydere af offentlige elektroniske kommunikationsnetværk og -tjenester, udbydere af tillidstjenester og offentlige myndigheder. Også udbydere af domænenavneregistreringstjenester skal registrere sig.
Væsentlig eller vigtig
Organisationer, der er omfattet af loven, er væsentlige eller vigtige enheder. Groft sagt: store organisationer i sektorerne fra bilag 1 og nogle typer, der er udpeget uanset størrelse, er væsentlige; resten er vigtige. Forskellen ligger primært i tilsynet: hos væsentlige enheder kan tilsynsmyndigheden kontrollere af egen drift, for eksempel med inspektioner og audits; hos vigtige enheder griber den primært ind bagefter, hvis der er tegn på, at noget ikke er i orden. Selve pligterne er stort set ens. Om du er væsentlig eller vigtig, afklarer du med en selvevaluering.
Undersøg det selv
I Nederland har tilsynsmyndigheden RDI en gratis NIS2-selvevaluering på https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Du svarer på en række spørgsmål om sektor, størrelse og tjenester og får et resultat. Er du i tvivl, for eksempel fordi din virksomhed hører til en koncern eller opererer i flere lande, kan du finde generel vejledning hos den kompetente myndighed i dit land (i Danmark: Styrelsen for Samfundssikkerhed, https://samsik.dk/).
Hvad loven kræver
Er din organisation omfattet, gælder der tre pligter.
Registreringspligt
Du registrerer din organisation, i Danmark sker det via virk.dk (med MitID). Sådan ved myndighederne, hvem der er omfattet, og kan kontakte dig ved en trussel.
Omsorgspligt
Du udarbejder en risikoanalyse og træffer på den baggrund passende og forholdsmæssige foranstaltninger for sikkerheden i dine netværks- og informationssystemer. Det nederlandske NCSC nævner mindst ti emner, som du har stødt på i hele denne kursus:
- risikoanalyse (lektion 1.1 og 9.3);
- håndtering af hændelser med en beredskabsplan (lektion 8.1);
- forberedelse på nedbrud: backup, genopretningsplaner, krisestyring (modul 6);
- sikring af leverandørkæden, herunder leverandørrisici (lektion 7.2);
- cyberhygiejne og træning (lektion 9.2);
- sikker anskaffelse, udvikling og vedligeholdelse af systemer, herunder opdateringer (lektion 5.1);
- personale, adgangspolitik og styring af udstyr og software (lektion 7.1);
- passkeys eller flerfaktorautentificering og sikker kommunikation (modul 2);
- en politik for kryptografi (kryptering);
- vurdering af om foranstaltningerne virker, for eksempel gennem periodisk testning (lektion 6.3 og 9.3).
Ledelsen er ansvarlig: den godkender foranstaltningerne og fører tilsyn med udførelsen. Ifølge det europæiske direktiv skal ledelsesmedlemmer også gennemgå en uddannelse om cyberrisici. Cybersikkerhed er altså ikke længere en opgave, man bare overlader til it-manden.
Underretningspligt
En væsentlig hændelse skal anmeldes, i Nederland til det nederlandske NCSC via MijnNCSC; i Danmark anmeldes hændelser til den kompetente myndighed (koordineret af Styrelsen for Samfundssikkerhed, https://samsik.dk/). Det er en hændelse, der alvorligt forstyrrer din tjenesteydelse, forårsager økonomisk skade eller kan forårsage stor skade hos andre; de præcise tærskler varierer fra sektor til sektor. Fristerne løber fra det tidspunkt, hvor du bliver opmærksom på hændelsen:
| Frist | Hvad du sender |
|---|---|
| Inden for 24 timer | Tidlig varsling: er det formodentlig ondsindet, er der grænseoverskridende konsekvenser, hvem er kontaktperson |
| Inden for 72 timer | Hændelsesanmeldelse: en opdatering med en første vurdering af alvor og konsekvenser |
| Inden for 1 måned efter anmeldelsen | Slutrapport: hvad der skete, årsagen og foranstaltningerne (varer hændelsen længere: en statusrapport) |
Én anmeldelse når både CSIRT'et (teamet, der hjælper med hændelsen) og tilsynsmyndigheden. Derudover skal du ifølge direktivet om nødvendigt informere modtagerne af dine tjenester om væsentlige hændelser, der kan påvirke dem.
Anmeldelse efter NIS 2-loven og anmeldelse efter GDPR: to forskellige ting
Det ligner underretningspligten for databrud fra GDPR (lektion 8.2), og "72 timer" går igen i begge. Alligevel er det to separate pligter.
| NIS 2-loven | GDPR (databrud) | |
|---|---|---|
| For hvem | Organisationer, der er omfattet af NIS 2-loven | Alle, der behandler personoplysninger, også en enkeltmandsvirksomhed |
| Hvad det handler om | Væsentlige hændelser med din tjenesteydelse | Brud på sikkerheden for personoplysninger |
| Til hvem | Den kompetente myndighed | Datatilsynet |
| Frister | 24 timer, 72 timer, 1 måned | Uden unødig forsinkelse, om muligt inden for 72 timer |
Et ransomwareangreb hos en NIS2-omfattet organisation, hvor der også er stjålet kundedata, skal derfor anmeldes begge steder. Og en lille virksomhed, der ikke er omfattet af NIS 2-loven, har stadig underretningspligten efter GDPR, hvis personoplysninger lækkes.
Er du ikke omfattet: leverandørkæden
For de fleste læsere af dette kursus er svaret på det første spørgsmål: nej, min virksomhed er ikke omfattet af NIS 2-loven. Bageriet med tolv ansatte, bogholderikontoret med fem, webudvikleren der arbejder alene. Så har du ingen lovpligtige forpligtelser fra NIS 2-loven: ingen registrering, ingen underretningspligt, intet tilsyn.
Men loven kan stadig nå dig via dine kunder. Organisationer, der er omfattet, skal sikre deres leverandørkæde: de skal tage højde for sårbarhederne hos deres direkte leverandører og tjenesteudbydere. Det nederlandske NCSC skriver, at loven ikke selv pålægger underleverandører forpligtelser, men at omfattede organisationer godt kan stille krav til deres underleverandørers digitale sikkerhed. Disse krav kommer så til at stå i din kontrakt eller i et spørgeskema.
Et eksempel. En lille it-virksomhed med seks medarbejdere administrerer bærbare computere og netværk for en mellemstor transportvirksomhed med 140 medarbejdere. Transportvirksomheden er omfattet af loven (transport, stor nok). It-virksomheden selv er det ikke: "forvaltning af IKT-tjenester" står ganske vist i bilag 1, men virksomheden er for lille. Alligevel får den et spørgeskema: har I totrinsbekræftelse på administrationsværktøjerne, hvem har adgang til vores systemer, hvor hurtigt anmelder I en hændelse hos os, hvor ligger backuppen?
Hvad det nederlandske NCSC siger om dette, og hvad det betyder for dig:
- Kravene skal være passende. En kunde bør kigge på den risiko, din tjeneste udgør for ham. En leverandør med adgang til systemerne får strengere krav end bageren, der leverer frokosten.
- Det handler om direkte leverandører. Leverandørerne til dine leverandører falder uden for loven.
- Et certifikat er ikke et krav. Loven foreskriver ikke et mærke. Et certifikat kan gøre samtalen lettere, men det er hverken en garanti eller et lovkrav.
- Begynd samtalen tidligt. Kortlæg hvilke foranstaltninger du allerede har de steder, hvor du har med kunden at gøre, og skriv aftalerne ned.
Overdriv det altså ikke. NIS 2-loven gør ikke en lille virksomhed til en "NIS2-pligtig" organisation, og en rådgiver, der fortæller dig det for at sælge en dyr certificering, fortæller kun en del af historien. Men undervurdér det heller ikke: den, der leverer til større organisationer, skal i stigende grad kunne vise, at det grundlæggende er i orden. De grundlæggende foranstaltninger fra dette kursus er netop det, et sådant spørgeskema som regel spørger om.
Denne lektion giver en generel forklaring og er ikke juridisk rådgivning. I Danmark kan du finde de aktuelle regler hos Styrelsen for Samfundssikkerhed, https://samsik.dk/. Se desuden det nederlandske NCSC (nederlandsk kilde) på https://www.ncsc.nl/cyberbeveiligingswet-nis2 og den nederlandske lovtekst på https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Opsummering
- NIS 2-loven er den danske gennemførelse af NIS2 og trådte i kraft den 1. juli 2025.
- Du er omfattet, hvis du arbejder i en sektor fra bilag 1 eller 2 og har 50 eller flere årsværk, eller hvis årsomsætning og balance begge ligger over 10 millioner euro; nogle typer (som DNS-udbydere og offentlige myndigheder) er omfattet uanset størrelse.
- Pligter: registrering, omsorgspligt med risikoanalyse og passende foranstaltninger under ledelsens ansvar, og anmeldelse af væsentlige hændelser inden for 24 timer, 72 timer og 1 måned.
- Anmeldelsen efter NIS 2-loven er uafhængig af anmeldelsen af databrud efter GDPR til Datatilsynet; nogle gange skal begge ske.
- En lille virksomhed er sjældent selv omfattet, men kan via kunder, der er omfattet, få passende sikkerhedskrav stillet.
Quiz
Opgave
Opgave A9.1: Er organisationen omfattet af NIS 2-loven? Du får seks korte beskrivelser af organisationer (sektor, antal medarbejdere, omsætning, balance, eventuelt en koncern eller en stor kunde). Afgør for hver organisation: er omfattet, er ikke omfattet men får sandsynligvis krav via en kunde, eller er ikke omfattet. Programmet retter og viser for hver organisation trinnene i beslutningstræet.
Læs mere
Om NIS 2-loven findes der endnu ingen artikel i WebOkés videnbase; brug de officielle kilder.
- Det nederlandske NCSC, Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Det nederlandske NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Det nederlandske NCSC, Zorgplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Det nederlandske NCSC, Meldplicht: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Det nederlandske NCSC, De Cyberbeveiligingswet en toeleveranciers: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, NIS2-selvevaluering (nederlandsk): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Nederlandsk lovtekst, Cyberbeveiligingswet: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0