NIS2 for energivirksomheder i Danmark: elektricitet, gas, olie og fjernvarme

Er energisektoren omfattet af NIS2-loven i Danmark?

Ja. Energi er udtrykkeligt nævnt som sektor nr. 1 i bilag 1 til NIS2-loven (lov nr. 434 af 6. maj 2025), som er »Sektorer af særlig kritisk betydning«, og bilaget dækker delsektorerne elektricitet, fjernvarme og fjernkøling, olie, gas og brint. Om jeres konkrete virksomhed er omfattet, afgøres af, om I er en af de enhedstyper, bilaget opregner, kombineret med størrelseskriterierne i § 4 (væsentlig enhed) og § 5 (vigtig enhed).

Det første, en energivirksomhed bør gøre, er derfor at afklare to ting: hvilken enhedstype i bilag 1 jeres aktivitet svarer til, og hvor mange ansatte, hvilken omsætning og hvilken balance I har. Den afklaring kan I foretage som en struktureret selvevaluering internt, før I går videre til kravene i §§ 6, 7, 12 og 13.

Loven trådte i kraft den 1. juli 2025 (§ 33).

Sådan nævner loven energisektoren (bilag 1)

Bilag 1 til NIS2-loven beskriver elektricitetsdelen ordret således:

> »Energi a) Elektricitet – Elektricitetsvirksomheder som defineret i artikel 2, nr. 57, i Europa-Parlamentets og Rådets direktiv (EU) 2019/944, der varetager »levering« som defineret i nævnte direktivs artikel 2, nr. 12 – Distributionssystemoperatører som defineret i artikel 2, nr. 29, i direktiv (EU) 2019/944«

Ud over disse nævner bilag 1 under delsektor a) Elektricitet også transmissionssystemoperatører (art. 2, nr. 35, i direktiv (EU) 2019/944), producenter (art. 2, nr. 38), udpegede elektricitetsmarkedsoperatører (art. 2, nr. 8, i forordning (EU) 2019/943), markedsdeltagere (art. 2, nr. 25, i forordning (EU) 2019/943), der leverer tjenester vedrørende aggregering, fleksibelt elforbrug eller energilagring, samt operatører af ladestationer.

De øvrige delsektorer i bilag 1, sektor 1:

• b) Fjernvarme og fjernkøling – operatører af fjernvarme eller fjernkøling som defineret i artikel 2, nr. 19, i direktiv (EU) 2018/2001.
• c) Olie – olierørledningsoperatører; operatører af olieproduktionsanlæg, -raffinaderier og -behandlingsanlæg, olielagre og olietransmission; centrale lagerenheder som defineret i artikel 2, litra f, i direktiv 2009/119/EF.
• d) Gas – forsyningsvirksomheder (art. 2, nr. 8, i direktiv 2009/73/EF), distributionssystemoperatører (art. 2, nr. 6), transmissionssystemoperatører (art. 2, nr. 4), lagersystemoperatører (art. 2, nr. 10), LNG-systemoperatører (art. 2, nr. 12), naturgasvirksomheder (art. 2, nr. 1) samt operatører af naturgasraffinaderier og -behandlingsanlæg.
• d) Brint – operatører inden for brintproduktion, -lagring og -transmission.

Stemmer jeres aktivitet ikke overens med nogen af disse typer, er I ikke omfattet via energisektoren i bilag 1.

Væsentlig enhed eller vigtig enhed — og hvilke tærskler gælder?

NIS2-loven bruger to statutariske kategorier: væsentlig enhed og vigtig enhed. Energivirksomheder hører under bilag 1 og kan derfor havne i begge kategorier afhængigt af størrelse.

Størrelse er ikke altid afgørende. Efter § 4, stk. 3, anses visse enheder for væsentlige uanset deres størrelse, herunder enheder, der er identificeret som kritiske enheder efter CER-loven (nr. 3), enheder identificeret som operatører af væsentlige tjenester efter NIS I-direktivet (direktiv (EU) 2016/1148) (nr. 4), og enheder omfattet af bilag 1 eller 2, hvor mindst én af følgende betingelser er opfyldt (nr. 5): virksomheden er eneste udbyder i Danmark af en tjeneste, der er væsentlig for kritiske samfundsmæssige eller økonomiske aktiviteter; en forstyrrelse kan have væsentlig indvirkning på den offentlige sikkerhed eller folkesundheden; en forstyrrelse kan medføre en væsentlig systemisk risiko; eller virksomheden er kritisk på grund af sin specifikke betydning på nationalt eller regionalt plan.

Den kompetente myndighed kan efter § 5, stk. 2, træffe afgørelse om, at en enhed omfattet af § 4, stk. 3, nr. 4 eller 5, uanset størrelse skal anses for at være en vigtig enhed.

Kernekravene: risikostyring og ledelsens ansvar

NIS2-loven stiller ikke særlige energispecifikke sikkerhedskrav. Kravene i § 6 og § 7 gælder på nøjagtig samme måde for alle væsentlige og vigtige enheder, uanset sektor.

Efter § 6, stk. 1 skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer. Foranstaltningerne skal som minimum omfatte:

1. Politikker for risikoanalyse og informationssystemsikkerhed. 2. Håndtering af hændelser. 3. Driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring. 4. Forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere. 5. Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder. 6. Politikker og procedurer til vurdering af foranstaltningernes effektivitet. 7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse. 8. Politikker og procedurer om brug af kryptografi og, hvor relevant, kryptering. 9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver. 10. Multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation samt sikrede nødkommunikationssystemer internt, hvor det er relevant.

Opfylder virksomheden ikke ét eller flere af kravene, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).

Ledelsen kan ikke uddelegere sig fri. Efter § 7, stk. 1, skal foranstaltningerne være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med gennemførelsen. Efter § 7, stk. 2, skal medlemmerne af ledelsesorganet deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte.

Loven indeholder desuden en pligt til at indgive oplysninger efter § 9, stk. 1, og § 10, stk. 1; disse oplysninger skulle indgives senest den 1. oktober 2025 (§ 33, stk. 3). Selve indberetnings- eller registreringskanalen fremgår ikke entydigt af lovteksten — bekræft venligst hos den kompetente myndighed (officiel kilde).

Underretning om hændelser og frister

Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse, og underretningen skal indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger (§ 12, stk. 1).

En hændelse anses for væsentlig, hvis den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller hvis den har påvirket eller kan påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade (§ 12, stk. 2).

Fristerne i § 13, stk. 1, er trinvise:

• Tidlig varsling: uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til den væsentlige hændelse. Varslingen skal angive, om hændelsen mistænkes forårsaget af ulovlige eller ondsindede handlinger eller kunne have grænseoverskridende virkning (nr. 1).
• Hændelsesunderretning: uden unødigt ophold og under alle omstændigheder inden for 72 timer efter kendskab. Den ajourfører den tidlige varsling og giver en indledende vurdering af hændelsens alvor og indvirkning samt kompromitteringsindikatorer, hvor de foreligger (nr. 2).
• Foreløbig rapport: sendes efter anmodning fra CSIRT'en (nr. 3).
• Endelig rapport: senest 1 måned efter hændelsesunderretningen, med detaljeret beskrivelse, trusselstype eller grundlæggende årsag, anvendte og igangværende afbødende foranstaltninger samt eventuelle grænseoverskridende virkninger (nr. 4).
• Pågår hændelsen fortsat, indsendes en statusrapport på tidspunktet for den endelige rapport og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (nr. 5).

CSIRT'en skal give svar, herunder indledende tilbagemeldinger, uden unødigt ophold og inden for 24 timer efter modtagelsen af den tidlige varsling, og kan efter anmodning yde vejledning, operativ rådgivning og supplerende teknisk bistand (§ 13, stk. 3).

Tilsyn og bøder

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører tilsyn på deres respektive sektorområder (NIS2-loven §§ 12 og 21-26) — der er altså ikke én central myndighed for alle sektorer. De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025, uden for selve NIS2-loven. Energivirksomheder bør derfor identificere den myndighed, der er ansvarlig for deres delsektor, før en hændelse indtræffer.

Efter § 21, stk. 1, kan en kompetent myndighed over for en væsentlig enhed blandt andet foretage kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, gennemføre regelmæssige og målrettede sikkerhedsaudits eller kræve, at et kvalificeret uafhængigt organ foretager dem, gennemføre sikkerhedsscanninger og kræve oplysninger, data, dokumenter samt dokumentation for gennemførelsen af cybersikkerhedspolitikker.

Bøder. Efter § 32, stk. 1, straffes med bøde den, der blandt andet overtræder § 6, stk. 1 eller 2, §§ 9 eller 10, § 11, stk. 1-6, § 12, stk. 1, § 13, stk. 1 eller 2, eller § 15, eller som undlader at efterkomme en kompetent myndigheds afgørelse, påbud eller forbud, eller som hindrer myndighederne i at føre tilsyn. Efter § 32, stk. 2, kan selskaber m.v. (juridiske personer) pålægges strafansvar efter reglerne i straffelovens 5. kapitel. Loven angiver ikke selv konkrete bødebeløb eller -procenter; for niveauet i praksis bedes I bekræfte hos den kompetente myndighed (officiel kilde) og dens offentliggjorte vejledninger.