NIS2 og Cybersikkerhedsloven: Er din virksomhed omfattet?
Siden 15. august 2026 gælder Cyberbeveiligingswet (cybersikkerhedsloven) i Holland. Du har måske allerede hørt begrebet NIS2 fra en kunde, en leverandør eller en rådgiver. I denne artikel kan du kort læse, hvad loven er, hvem den gælder for, og hvad den betyder for en lille virksomhed, som ikke selv er omfattet af den.
Denne artikel giver en generel forklaring og er ikke juridisk rådgivning. De aktuelle regler finder du hos NCSC og i lovteksten.
Hvad er det?
NIS2 er et europæisk direktiv fra 2022 (Direktiv (EU) 2022/2555), som skal gøre organisationer i vigtige sektorer mere robuste digitalt. Hvert land omsætter direktivet til sin egen lov. I Holland er det Cyberbeveiligingswet (Cbw), cybersikkerhedsloven. Loven gælder siden 15. august 2026, uden overgangsperiode, og erstatter den tidligere Wet beveiliging netwerk- en informatiesystemen (Wbni). Ifølge NCSC er over 8.000 organisationer omfattet af den. NCSC er kontaktpunktet.
Er min virksomhed omfattet?
Det afhænger af to spørgsmål: din sektor og din størrelse.
1. Arbejder du i en sektor, der er nævnt i loven?
| Bilag 1 | Bilag 2 |
|---|---|
| Energi, transport, bankvæsen, infrastruktur for finansmarkedet, sundhedsvæsen, drikkevand, spildevand, digital infrastruktur, forvaltning af IKT-tjenester, offentlig forvaltning, rumfart | Post- og kurertjenester, affaldshåndtering, kemiske stoffer, fødevarer, fremstillingsindustri, digitale udbydere, forskning |
For nogle sektorer gælder der ekstra betingelser. Ikke enhver virksomhed, der beskæftiger sig med fødevarer, er derfor automatisk omfattet.
2. Er du stor nok? Kort sagt er mellemstore og store organisationer omfattet. Du tæller med, hvis du:
- har 50 eller flere medarbejdere (fuldtidsansatte), eller
- har færre end 50 medarbejdere, men din årsomsætning og din balancesum begge ligger over 10 millioner euro.
Partnervirksomheder og tilknyttede virksomheder tæller med. En virksomhed med 20 medarbejdere, som hører til en koncern med 200 ansatte, kan derfor alligevel være omfattet.
Undtagelser, uanset størrelse. Nogle typer organisationer er altid omfattet, uanset hvor små de er. Det gælder for eksempel DNS-udbydere, registre for topdomæner, udbydere af offentlige elektroniske kommunikationsnetværk og -tjenester, udbydere af tillidstjenester og offentlige myndigheder. Er du udpeget under Wet weerbaarheid kritieke entiteiten (loven om modstandsdygtighed hos kritiske enheder), er du også omfattet af Cyberbeveiligingswet.
Tjek det selv med selvevalueringen
Rijksinspectie Digitale Infrastructuur (RDI) har en gratis NIS2-selvevaluering. Du besvarer spørgsmål om din sektor, størrelse og tjenester og får et resultat. Det viser også, om du er en væsentlig eller en vigtig enhed. Forskellen ligger primært i tilsynet: ved væsentlige enheder kan tilsynsmyndigheden også føre kontrol på eget initiativ, ved vigtige enheder sker det primært efterfølgende. Hører din virksomhed til en koncern, eller arbejder du i flere lande? Så kan vejledningen om komplekse forretningsmodeller fra NCSC hjælpe dig.
Hvad skal du gøre, hvis du er omfattet?
- Registrering. Du tilmelder din organisation via MijnNCSC.
- Omsorgspligt. Du laver en risikoanalyse og træffer passende og forholdsmæssige foranstaltninger. NCSC nævner mindst ti emner, blandt andet håndtering af hændelser, backup og genopretning, sikring af din forsyningskæde, træning, opdateringer, adgangsstyring, totrinsgodkendelse eller passkeys, kryptering og test af, om dine foranstaltninger virker. Bestyrelsen godkender foranstaltningerne og fører tilsyn med dem.
- Anmeldelsespligt. En væsentlig hændelse anmelder du via MijnNCSC: inden for 24 timer en første advarsel, inden for 72 timer en anmeldelse med en første vurdering af alvor og konsekvenser, og inden for en måned en slutrapport.
Denne anmeldelse er adskilt fra anmeldelsespligten for databrud under GDPR. Den gælder for alle, der behandler personoplysninger, også for en enkeltmandsvirksomhed, og anmeldes til Autoriteit Persoonsgegevens (den hollandske databeskyttelsesmyndighed). Et angreb, hvor der også er stjålet kundedata, kan derfor skulle anmeldes begge steder.
Ikke omfattet? Så kan kæden alligevel påvirke dig
De fleste små virksomheder er ikke omfattet af loven. Så har du ingen registreringspligt, ingen anmeldelsespligt over for NCSC og intet tilsyn. Men organisationer, der er omfattet, skal også tage højde for risiciene hos deres direkte leverandører og tjenesteudbydere. Ifølge NCSC pålægger loven ikke underleverandører selv nogen forpligtelser, men kunder må godt stille krav til deres digitale sikkerhed. Disse krav indgår så i en kontrakt eller et spørgeskema.
Leverer du til en større organisation, for eksempel som webudvikler, IT-ansvarlig eller bogholderi? Så kan du få spørgsmål som: bruger I totrinsgodkendelse, hvem har adgang til vores data, hvor ligger backuppene, og hvor hurtigt anmelder I en hændelse?
- Krav bør være passende i forhold til risikoen ved din tjeneste. En leverandør med adgang til systemerne får strengere krav end bageren, der leverer frokosten.
- Det drejer sig om direkte leverandører. Dine leverandørers egne leverandører er ikke omfattet.
- Loven kræver ikke et certifikat. Det kan hjælpe i dialogen, men det er ingen garanti.
- Begynd i god tid: kortlæg, hvilke foranstaltninger du allerede har, og nedfæld aftaler med din kunde.