NIS2-dokumentation i Danmark: hele sættet før det første skridt

Hele dokumentationssættet på én gang: de fem kerneområder

De fleste virksomheder begynder med at spørge: "Hvilket dokument skal vi skrive først?" Det er et rimeligt spørgsmål, men det giver først mening, når man kan se helheden. NIS2-loven (lov nr. 434 af 6. maj 2025) kræver ikke ét dokument — den kræver et sammenhængende sæt af foranstaltninger, som skal kunne fremvises samlet.

Grundlaget er § 6, stk. 1, som pålægger væsentlige og vigtige enheder at træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer. Bestemmelsen lister ti punkter, som foranstaltningerne som minimum skal omfatte (samme opregning som art 21(2), litra a-j, i direktiv (EU) 2022/2555). Hertil kommer ledelsens pligter i § 7.

I praksis samler fem kerneområder det, som virksomheder typisk skal have på skrift:

1. Politik for risikoanalyse og informationssystemsikkerhed. § 6, stk. 1, nr. 1 (art 21(2)(a)) kræver politikker for risikoanalyse og informationssystemsikkerhed. Det er dokumentet, der beskriver, hvordan virksomheden identificerer og vurderer sine risici, og hvilke sikkerhedskrav der gælder for systemerne. Alt det øvrige — adgangskontrol, kryptografi, leverandørkrav — udspringer af de valg, der træffes her.

2. Håndtering af hændelser. § 6, stk. 1, nr. 2 (art 21(2)(b)) kræver håndtering af hændelser. Dokumentationen skal hænge sammen med underretningspligten i § 12, hvor væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse. Efter § 13, stk. 1, nr. 1, sendes en tidlig varsling uden unødigt ophold og senest inden for 24 timer, efter at enheden har fået kendskab til hændelsen; efter § 13, stk. 1, nr. 2, sendes en hændelsesunderretning inden for 72 timer; og efter § 13, stk. 1, nr. 4, sendes en endelig rapport senest 1 måned efter hændelsesunderretningen.

3. Driftskontinuitet. § 6, stk. 1, nr. 3 (art 21(2)(c)) omfatter driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe samt krisestyring. Her beskrives, hvordan driften genoptages, hvem der leder krisearbejdet, og hvordan backup faktisk testes og gendannes.

4. Forsyningskædesikkerhed. § 6, stk. 1, nr. 4 (art 21(2)(d)) omfatter forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere. Det betyder krav, kriterier og kontroller i forhold til de leverandører, der rører ved virksomhedens systemer og data.

5. Ledelsesansvar og uddannelse. Efter § 7, stk. 1, skal foranstaltningerne være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med gennemførelsen. Efter § 7, stk. 2, skal medlemmerne af ledelsesorganet deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes enhedens øvrige ansatte. Dertil kommer § 6, stk. 1, nr. 7, om grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse.

Hvorfor risikostyringspolitikken er det naturlige første skridt

Når helheden er på plads, bliver rækkefølgen indlysende. Politikken for risikoanalyse og informationssystemsikkerhed står som nr. 1 i § 6, stk. 1 — og det er ikke tilfældigt, at de øvrige fire områder bygger videre på den.

En hændelsesprocedure skal vide, hvilke systemer og tjenester der er kritiske, før den kan prioritere. En driftskontinuitetsplan skal kende de samme kritiske processer for at kunne fastsætte gendannelsesmål. Leverandørkravene skal afspejle, hvilke risici leverandøren rent faktisk introducerer. Og ledelsen kan kun godkende foranstaltninger efter § 7, stk. 1, hvis der findes et dokumenteret risikobillede at godkende dem på baggrund af.

Starter man derimod med et enkeltstående dokument længere nede i rækken, ender man ofte med at skrive det om, når risikovurderingen senere viser noget andet. Bemærk også § 6, stk. 2: en enhed, der ikke overholder ét eller flere af kravene, skal uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger. Loven forudsætter altså løbende arbejde, ikke et engangsprojekt.

Tilsynet og kunderne spørger til sættet — ikke til ét dokument

Det er værd at vide, hvad dokumentationen skal kunne holde til. For væsentlige enheder fastlægger § 21 de kompetente myndigheders tilsynsbeføjelser. Myndigheden kan blandt andet:

• foretage kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, uden retskendelse og mod behørig legitimation (§ 21, stk. 1, nr. 1)
• foretage regelmæssige og målrettede sikkerhedsaudits eller stille krav om, at enheden får et kvalificeret uafhængigt organ til at foretage disse audits (§ 21, stk. 1, nr. 2)
• foretage sikkerhedsaudits og sikkerhedsscanninger (§ 21, stk. 1, nr. 3 og 4)
• kræve at få udleveret oplysninger, der er nødvendige for at vurdere de indførte foranstaltninger til styring af cybersikkerhedsrisici (§ 21, stk. 1, nr. 5)
• kræve adgang til data, dokumenter og oplysninger, der er nødvendige for tilsynsopgaven (§ 21, stk. 1, nr. 6)
• kræve at få udleveret dokumentation for gennemførelsen af cybersikkerhedspolitikker (§ 21, stk. 1, nr. 7)

Formuleringen i nr. 5-7 er central: der spørges til de foranstaltninger, virksomheden har indført, og til dokumentationen for, at politikkerne rent faktisk er gennemført. Det er et sæt, ikke et enkelt dokument. Efter § 21, stk. 2, skal myndigheden dog angive formålet og præcisere, hvilke oplysninger der kræves udleveret, og i hvilken form.

Danmark anvender en decentral model: de kompetente myndigheder fører tilsyn på deres respektive sektorområder. Hvilken myndighed der er ansvarlig for netop din sektor, bør du bekræfte hos den kompetente myndighed for dit område som officiel kilde.

Det samme mønster ses hos indkøbende kunder. Når en kunde selv er omfattet, beder kunden om at se, hvordan leverandøren håndterer sikkerhed — sjældent i form af ét dokument, oftere som en samlet beskrivelse af politik, hændelseshåndtering, kontinuitet og leverandørstyring.

Leverandørringen: derfor rammer kravene også dig som underleverandør

Forsyningskædesikkerhed i § 6, stk. 1, nr. 4 (art 21(2)(d)) er den bestemmelse, der får NIS2 til at brede sig længere ud end listen over omfattede sektorer. En omfattet virksomhed skal håndtere sikkerhedsrelaterede aspekter i forholdet til sine direkte leverandører og tjenesteudbydere. Den forpligtelse kan den kun opfylde ved at stille krav og bede om dokumentation fra netop de leverandører.

Konsekvensen er praktisk: mange virksomheder, der ikke selv opfylder kriterierne i § 4 eller § 5, modtager alligevel spørgeskemaer og dokumentationsanmodninger, fordi de leverer til en væsentlig eller vigtig enhed. Har du ikke sættet klar, bliver hver forespørgsel et lille improviseret projekt — og svaret kommer sjældent hurtigt nok til en igangværende udbudsproces.

Omvendt: har du politikken, hændelsesproceduren, kontinuitetsplanen, leverandørkravene og ledelsens godkendelse liggende, er en kundeforespørgsel typisk et spørgsmål om at fremsende det, der allerede findes.

Sådan kommer du i gang uden at miste overblikket

En praktisk rækkefølge, der følger lovens egen logik:

1. Afklar, om og hvordan I er omfattet. § 4 definerer væsentlige enheder (blandt andet 250 personer eller derover, eller en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro, for typer omfattet af bilag 1), og § 5 definerer vigtige enheder (blandt andet 50 personer eller derover, eller en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro). Visse enheder er omfattet uanset størrelse, jf. § 4, stk. 3. En struktureret enkel kontrol af egen situation er en god start. 2. Skriv risikostyringspolitikken først. Den fastlægger kritiske systemer, risikovurdering og sikkerhedskrav — grundlaget for de fire øvrige områder. 3. Byg hændelseshåndteringen ovenpå, så den passer til underretningsforløbet i § 12 og § 13. 4. Tilføj driftskontinuitet og forsyningskædesikkerhed, som begge trækker på det samme risikobillede. 5. Få ledelsesorganets godkendelse på plads og planlæg kurserne efter § 7.

Husk, at loven trådte i kraft den 1. juli 2025, jf. § 33, stk. 1, og at oplysningerne efter § 9, stk. 1, og § 10, stk. 1, skulle indgives senest den 1. oktober 2025. Overtrædelse af blandt andet § 6, stk. 1 eller 2, § 12, stk. 1, og § 13, stk. 1 eller 2, straffes med bøde efter § 32, ligesom det er strafbart at hindre de kompetente myndigheders tilsyn. Dokumentation er derfor ikke papirarbejde for papirarbejdets skyld — det er den form, lovens krav har i praksis. For fortolkning af krav i din konkrete sektor bør du følge de offentliggjorte vejledninger fra den kompetente myndighed på dit område.