NIS2 og den nederlandske Cyberbeveiligingswet: er min virksomhed omfattet?

Siden 15. august 2026 har Cyberbeveiligingswet, den hollandske cybersikkerhedslov, været gældende i Nederland. Måske har du allerede hørt begrebet NIS2 fra en kunde, en leverandør eller en rådgiver. I denne artikel kan du kort læse, hvad loven er, hvem den gælder for, og hvad den betyder for en lille virksomhed, der ikke selv er omfattet.

Artiklen giver en generel forklaring og er ikke juridisk rådgivning. De gældende regler finder du hos NCSC og i lovteksten.

Hvad er det?

NIS2 er et europæisk direktiv fra 2022 (direktiv (EU) 2022/2555), der skal gøre organisationer i vigtige sektorer digitalt mere modstandsdygtige. Hvert land omsætter direktivet til sin egen lov. I Nederland er det Cyberbeveiligingswet (Cbw). Loven gælder siden 15. august 2026 uden overgangsperiode og erstatter den tidligere lov om sikkerhed i net- og informationssystemer (Wbni). Ifølge NCSC er over 8.000 organisationer omfattet. NCSC er kontaktpunktet.

Er min virksomhed omfattet?

Det afhænger af to spørgsmål: din sektor og din størrelse.

1. Arbejder du i en sektor, der er nævnt i loven?

For nogle sektorer gælder der ekstra betingelser. Ikke alle virksomheder, der har med fødevarer at gøre, er altså automatisk omfattet.

2. Er du stor nok? Kort sagt er mellemstore og store organisationer omfattet. Du tæller med, hvis du:

• har 50 eller flere medarbejdere (fuldtidsstillinger), eller
• har færre end 50 medarbejdere, men både din årsomsætning og din balancesum ligger over 10 millioner euro.

Partnervirksomheder og tilknyttede virksomheder tæller med. En virksomhed med 20 medarbejdere, der hører til en koncern med 200, kan altså alligevel være omfattet.

Undtagelser, uanset størrelse. Nogle typer organisationer er altid omfattet, uanset hvor små de er. Det gælder for eksempel DNS-tjenesteudbydere, registre for topdomæner, udbydere af offentlige elektroniske kommunikationsnet og -tjenester, udbydere af tillidstjenester og offentlige myndigheder. Er du udpeget efter den hollandske lov om kritiske enheders modstandsdygtighed, er du også omfattet af Cyberbeveiligingswet.

Tjek det selv med selvevalueringen

Rijksinspectie Digitale Infrastructuur (RDI), den hollandske tilsynsmyndighed for digital infrastruktur, har en gratis NIS2-selvevaluering. Du besvarer spørgsmål om din sektor, størrelse og dine tjenester og får et resultat. Heraf fremgår det også, om du er en væsentlig eller en vigtig enhed. Forskellen ligger primært i tilsynet: hos væsentlige enheder må tilsynsmyndigheden også føre tilsyn på eget initiativ, hos vigtige enheder primært bagudrettet. Hører din virksomhed til en koncern, eller arbejder du i flere lande? Så kan NCSC's vejledning om komplekse forretningsmodeller hjælpe dig.

Hvad skal du gøre, hvis du er omfattet?

• Registrering. Du registrerer din organisation via MijnNCSC.
• Pligt til sikkerhedsforanstaltninger. Du laver en risikoanalyse og træffer passende og forholdsmæssige foranstaltninger. NCSC nævner mindst ti emner, blandt andet hændelseshåndtering, backup og gendannelse, sikkerhed i din forsyningskæde, træning, opdateringer, adgangsstyring, multifaktorgodkendelse eller passkeys, kryptering og test af, om dine foranstaltninger virker. Ledelsen godkender foranstaltningerne og fører tilsyn med dem.
• Underretningspligt. En væsentlig hændelse anmelder du via MijnNCSC: inden for 24 timer en første varsling, inden for 72 timer en anmeldelse med en første vurdering af alvor og konsekvenser og inden for en måned en endelig rapport.

Denne anmeldelse er adskilt fra pligten til at anmelde brud på persondatasikkerheden efter GDPR. Den gælder for alle, der behandler personoplysninger, også for en selvstændig uden ansatte, og anmeldes til Autoriteit Persoonsgegevens, den hollandske databeskyttelsesmyndighed. Hvornår noget er et brud på persondatasikkerheden, og om du skal anmelde det, kan du læse i Er dette et brud på persondatasikkerheden, og skal jeg anmelde det? Et angreb, hvor der også er stjålet kundedata, kan altså skulle anmeldes begge steder.

Er du ikke omfattet? Så kan kæden alligevel påvirke dig

De fleste små virksomheder er ikke omfattet af loven. Så har du ingen registreringspligt, ingen underretningspligt over for NCSC og intet tilsyn. Men organisationer, der er omfattet, skal også tage højde for risiciene hos deres direkte leverandører og tjenesteudbydere. Ifølge NCSC pålægger loven ikke selv leverandører forpligtelser, men kunder må gerne stille krav til deres digitale sikkerhed. De krav havner så i en kontrakt eller et spørgeskema.

Leverer du til en større organisation, for eksempel som webudvikler, IT-administrator eller bogføringsfirma? Så kan du få spørgsmål som: bruger I totrinsbekræftelse, hvem har adgang til vores data, hvor ligger backupperne, og hvor hurtigt anmelder I en hændelse?

• Kravene skal være passende i forhold til risikoen ved din tjeneste. En leverandør med adgang til systemerne får strengere krav end bageren, der leverer frokosten.
• Det handler om direkte leverandører. Dine leverandørers leverandører er ikke omfattet.
• Loven kræver ikke et certifikat. Det kan hjælpe i dialogen, men det er ingen garanti.
• Kom i gang i god tid: kortlæg, hvilke foranstaltninger du allerede har, og skriv aftaler med din kunde ned.

Læs mere

• NCSC: Cyberbeveiligingswet (NIS2)
• NCSC: Er min organisation omfattet af Cyberbeveiligingswet?
• NCSC: Pligt til sikkerhedsforanstaltninger
• NCSC: Underretningspligt
• NCSC: Cyberbeveiligingswet og leverandører
• RDI: NIS2-selvevaluering
• Lovteksten til Cyberbeveiligingswet

Vil du lære mere? Tag det gratis kursus Sikker online for virksomheder, lektion 9.1 NIS2 og Cyberbeveiligingswet.