NIS2 for banker og kreditinstitutter i Danmark: hvem er omfattet, og hvad kræves der?

Kort svar: er bankvirksomhed omfattet af NIS2-loven?

Ja. Bankvirksomhed er udtrykkeligt listet i bilag 1 til NIS2-loven (Lov nr. 434 af 6. maj 2025) under overskriften »Sektorer af særlig kritisk betydning«, og enhedstypen er kreditinstitutter som defineret i artikel 4, nr. 1, i forordning (EU) nr. 575/2013. Om jeres institut konkret er omfattet, afgøres derefter af størrelseskriterierne i § 4 (væsentlig enhed) og § 5 (vigtig enhed).

Første skridt: fastslå (1) om selskabet er en enhedstype fra bilag 1, og (2) hvilken af de to kategorier størrelsen placerer jer i. Den vurdering kan I lave internt med tal, I allerede har — antal ansatte, årlig omsætning og samlet balance. Loven trådte i kraft den 1. juli 2025, jf. § 33.

Sådan navngiver den danske lov sektoren (ordret)

Bilag 1 til NIS2-loven angiver sektoren og enhedstypen sådan:

> 3. Bankvirksomhed – Kreditinstitutter som defineret i artikel 4, nr. 1, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013

Umiddelbart efter i samme bilag står den beslægtede sektor:

> 4. Finansielle markedsinfrastruktur – Operatører af markedspladser som defineret i artikel 4, nr. 24, i Europa-Parlamentets og Rådets direktiv 2014/65/EU – Centrale modparter (CCP᾽er) som defineret i artikel 2, nr. 1, i Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012

Det betyder, at afgrænsningen ikke sker efter, hvad virksomheden kalder sig, men efter den EU-retlige definition af et kreditinstitut. Er I ikke et kreditinstitut i den forstand, kan I stadig være omfattet via en anden enhedstype i bilag 1 eller bilag 2 — for eksempel som udbyder af administrerede tjenester eller administrerede sikkerhedstjenester.

Vigtigt: NIS2-loven opstiller ikke særskilte, branchespecifikke pligter for bankvirksomhed. Loven stiller de samme krav til alle omfattede enheder og skelner alene mellem væsentlige enheder og vigtige enheder.

Væsentlig enhed eller vigtig enhed — tærsklerne

De to statutariske kategorier og deres størrelseskriterier:

Ud over størrelsen kan en enhed være væsentlig enhed uanset størrelse efter § 4, stk. 3. Det gælder blandt andet:

• enheder, der er identificeret som kritiske enheder i henhold til CER-loven (§ 4, stk. 3, nr. 3)
• enheder, der er identificeret som operatører af væsentlige tjenester efter NIS I-direktivet, direktiv (EU) 2016/1148 (§ 4, stk. 3, nr. 4)
• øvrige enheder af en type omfattet af bilag 1 eller 2, hvor mindst én betingelse i § 4, stk. 3, nr. 5, er opfyldt — for eksempel at en forstyrrelse af tjenesten vil kunne medføre en væsentlig systemisk risiko, eller at enheden er kritisk på grund af sin specifikke betydning på nationalt eller regionalt plan (litra c og d)

Efter § 5, stk. 2, kan den kompetente myndighed træffe afgørelse om, at en enhed omfattet af § 4, stk. 3, nr. 4 eller 5, uanset størrelse skal anses for at være en vigtig enhed. For finansielle koncerner med systemisk betydning er § 4, stk. 3, nr. 5, derfor mindst lige så relevant som medarbejdertallet.

Kernepligterne: risikostyring og ledelsens ansvar

Væsentlige og vigtige enheder skal efter § 6, stk. 1 træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer. Foranstaltningerne skal som minimum omfatte:

1. Politikker for risikoanalyse og informationssystemsikkerhed 2. Håndtering af hændelser 3. Driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe og krisestyring 4. Forsyningskædesikkerhed, herunder forholdene til direkte leverandører eller tjenesteudbydere 5. Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder 6. Politikker og procedurer til vurdering af foranstaltningernes effektivitet 7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse 8. Politikker og procedurer for brug af kryptografi og, hvor det er relevant, kryptering 9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver 10. Multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt hos enheden, hvor det er relevant

Listen svarer til art 21(2) i direktiv (EU) 2022/2555. Overholder enheden ikke ét eller flere krav, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).

Ledelsen kan ikke uddelegere sig fri. Efter § 7, stk. 1, skal foranstaltningerne være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med gennemførelsen. Medlemmerne af ledelsesorganet skal desuden deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes enhedens øvrige ansatte (§ 7, stk. 2).

Indberetning af oplysninger: efter § 33, stk. 3, skulle oplysningerne efter § 9, stk. 1, og § 10, stk. 1, indgives senest den 1. oktober 2025. Den præcise elektroniske indberetnings- eller registreringskanal fremgår ikke entydigt af lovteksten — bekræft venligst den konkrete kanal hos den kompetente myndighed på jeres sektorområde (officiel kilde).

Underretning om hændelser og fristerne

Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse (§ 12, stk. 1). Underretningen skal indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger.

En hændelse anses for væsentlig, hvis den (§ 12, stk. 2):

• har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller
• har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade

Fristerne i § 13, stk. 1, er trinvise:

Pågår hændelsen fortsat, når den endelige rapport skulle sendes, indsendes en statusrapport på det tidspunkt og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5). CSIRT᾽en skal give svar med indledende tilbagemeldinger inden for 24 timer efter modtagelsen af den tidlige varsling (§ 13, stk. 3).

I praksis betyder den første frist, at vagtplan, kontaktveje og et udfyldningsklart underretningsudkast skal ligge klar på forhånd — ikke skrives i selve hændelsen.

Tilsyn og bøder

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører på deres respektive områder tilsyn med væsentlige enheders overholdelse af loven (§ 21, stk. 1). Tilsynsforanstaltningerne omfatter blandt andet kontrol på stedet og eksternt tilsyn uden retskendelse, regelmæssige og målrettede sikkerhedsaudits — eventuelt udført af et kvalificeret uafhængigt organ — sikkerhedsscanninger samt krav om udlevering af oplysninger, data og dokumentation for gennemførelsen af cybersikkerhedspolitikker (§ 21, stk. 1, nr. 1-7). De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025, altså uden for selve NIS2-loven.

Bøde. Efter § 32, stk. 1, straffes med bøde den, der blandt andet overtræder § 6, stk. 1 eller 2 (sikkerhedsforanstaltningerne), § 12, stk. 1 (underretningspligten) eller § 13, stk. 1 eller 2 (fristerne), samt den, der undlader at efterkomme en kompetent myndigheds afgørelse, påbud eller forbud, eller hindrer myndighederne i at føre tilsyn. Efter § 32, stk. 2, kan der pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.

NIS2-loven angiver ikke selv bødebeløb eller procentsatser. Ønsker I et konkret niveau, skal det bekræftes hos den kompetente myndighed på jeres sektorområde (officiel kilde).