NIS2 for udbydere af digital infrastruktur i Danmark: cloud, datacentre og elektronisk kommunikation

Kort svar: er digital infrastruktur omfattet?

Ja. Digital infrastruktur er en selvstændig sektor i bilag 1 til NIS2-loven (lov nr. 434 af 6. maj 2025), og bilaget nævner blandt andet udbydere af cloudcomputingtjenester, udbydere af datacentertjenester samt udbydere af offentlige elektroniske kommunikationsnet og offentligt tilgængelige elektroniske kommunikationstjenester. Om netop jeres virksomhed er omfattet, afgøres af, om I er en af de enhedstyper, bilag 1 nævner, og derefter af størrelseskriterierne i § 4 (væsentlig enhed) og § 5 (vigtig enhed).

Det første, I bør gøre: fastslå præcist, hvilken enhedstype i bilag 1 jeres ydelse svarer til, og sammenhold antal ansatte, årlig omsætning og årlig samlet balance med tærsklerne i § 4 og § 5. En struktureret egenvurdering giver jer det udgangspunkt på under en time. Loven trådte i kraft den 1. juli 2025 (§ 33).

Sådan beskriver loven sektoren (bilag 1, ordret)

NIS2-loven opregner under sektoren digital infrastruktur i bilag 1 følgende typer enheder:

• Udbydere af internetudvekslingspunkter
• DNS-tjenesteudbydere bortset fra operatører af rodnavneservere
• Topdomænenavneadministratorer
• Udbydere af cloudcomputingtjenester
• Udbydere af datacentertjenester
• Udbydere af indholdsleveringsnetværk
• Tillidstjenesteudbydere
• Udbydere af offentlige elektroniske kommunikationsnet
• Udbydere af offentligt tilgængelige elektroniske kommunikationstjenester

Bemærk, at bilag 1 er en liste over typer af enheder — ikke over brancher i almindelig forstand. Det afgørende er derfor, hvilken tjeneste I faktisk leverer. Leverer I for eksempel administrerede tjenester eller administrerede sikkerhedstjenester til andre virksomheder, hører det under en anden post i bilag 1 (forvaltning af ikt-tjenester, business-to-business), men konsekvenserne af at være omfattet er de samme.

Væsentlig enhed eller vigtig enhed — og hvilke tærskler gælder?

Loven bruger to statutariske kategorier: væsentlig enhed og vigtig enhed.

Væsentlig enhed (§ 4). En enhed af en type omfattet af bilag 1 er en væsentlig enhed, hvis den opfylder en af følgende betingelser:

• beskæftiger 250 personer eller derover, eller
• har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro.

Uanset størrelse anses blandt andet kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere for væsentlige enheder (§ 4, stk. 3, nr. 1). Det samme gælder enheder, der er identificeret som kritiske enheder efter CER-loven, og enheder, der efter § 4, stk. 3, nr. 5, for eksempel er den eneste udbyder i Danmark af en tjeneste, der er væsentlig for kritiske samfundsmæssige eller økonomiske aktiviteter, eller hvis tjenesteafbrydelse kan medføre en væsentlig systemisk risiko.

Vigtig enhed (§ 5). Opfylder enheden ikke kriterierne i § 4, er den en vigtig enhed, hvis den beskæftiger 50 personer eller derover, eller har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro. Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses uanset tærsklerne for vigtige enheder (§ 5, stk. 3).

Kommuner og regioner anses for væsentlige enheder, hvis de med et kommercielt formål udfører opgaver som udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester og beskæftiger 50 personer eller derover eller har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 4, stk. 2).

Kernekravene: risikostyring og ledelsens ansvar

Loven stiller de samme grundlæggende krav til alle omfattede enheder — der er altså ikke særskilte, sektorspecifikke sikkerhedskrav for cloud eller datacentre i selve lovteksten. Væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til at styre risiciene for sikkerheden i net- og informationssystemer (§ 6, stk. 1). Foranstaltningerne skal som minimum omfatte:

1. Politikker for risikoanalyse og informationssystemsikkerhed 2. Håndtering af hændelser 3. Driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring 4. Forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere 5. Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder 6. Politikker og procedurer til vurdering af foranstaltningernes effektivitet 7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse 8. Politikker og procedurer om kryptografi og, hvor det er relevant, kryptering 9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver 10. Multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt, hvor det er relevant

Disse ti punkter svarer til minimumslisten i art 21(2) i direktiv (EU) 2022/2555. Overholder enheden ikke ét eller flere krav, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).

Ledelsen. Foranstaltningerne skal være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med gennemførelsen (§ 7, stk. 1). Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes øvrige ansatte (§ 7, stk. 2).

Indgivelse af oplysninger. Efter § 33, stk. 3, skulle oplysningerne efter § 9, stk. 1, og § 10, stk. 1, indgives senest den 1. oktober 2025. Den præcise elektroniske indberetnings- eller registreringskanal fremgår ikke entydigt af lovteksten — bekræft den i den relevante kompetente myndigheds offentliggjorte vejledning (officiel kilde).

Underretning ved hændelser: frister og modtagere

Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse (§ 12, stk. 1). Underretningen skal indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger.

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller hvis den har påvirket eller kan påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade (§ 12, stk. 2).

Fristerne i § 13, stk. 1:

Pågår hændelsen fortsat, indsendes en statusrapport på tidspunktet for den endelige rapport og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5). Tillidstjenesteudbydere skal afgive hændelsesunderretningen uden unødigt ophold og senest inden for 24 timer efter at være blevet bekendt med den væsentlige hændelse (§ 13, stk. 2). CSIRT'en skal svare den underrettende enhed inden for 24 timer efter modtagelsen af den tidlige varsling (§ 13, stk. 3).

For et datacenter eller en cloududbyder betyder det i praksis, at vagtberedskab, eskalationsveje og kontaktoplysninger skal være aftalt på forhånd — fristen løber fra kendskabet, ikke fra afslutningen af analysen.

Tilsyn og bøder

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører tilsyn på deres respektive sektorområder — der er altså ikke én central tilsynsmyndighed. De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025.

Over for væsentlige enheder kan den kompetente myndighed blandt andet foretage kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, kræve regelmæssige og målrettede sikkerhedsaudits (eventuelt udført af et kvalificeret uafhængigt organ), foretage sikkerhedsscanninger og kræve oplysninger, data og dokumentation for gennemførelsen af cybersikkerhedspolitikker (§ 21, stk. 1).

Straf. Efter § 32, stk. 1, straffes med bøde blandt andet den, der overtræder § 6, stk. 1 eller 2, § 12, stk. 1, eller § 13, stk. 1 eller 2, undlader at efterkomme en kompetent myndigheds afgørelse, påbud eller forbud, eller hindrer de kompetente myndigheder i at føre tilsyn. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). Selve loven fastsætter ikke konkrete bødebeløb eller procentsatser; for aktuel praksis henvises til den relevante kompetente myndigheds offentliggjorte vejledning (officiel kilde).