NIS2 i Danmark: underretningspligt og meldefrister ved væsentlige hændelser

Hvem har underretningspligt, og til hvem?

Efter NIS2-loven (Lov nr. 434 af 6. maj 2025) § 12 skal både væsentlige enheder og vigtige enheder underrette den relevante kompetente myndighed og Computer Security Incident Response Team (CSIRT) om enhver væsentlig hændelse.

Danmark anvender en decentral tilsynsmodel: der er ikke én central myndighed for alle sektorer. I stedet fører de kompetente myndigheder tilsyn på hver deres respektive sektorområde (jf. NIS2-loven §§ 21-26). Det betyder, at din virksomhed skal underrette den kompetente myndighed, der dækker netop jeres sektor, sammen med CSIRT'en.

Kort om klassifikationen:

• Væsentlig enhed (§ 4): fx enheder med 250 ansatte eller derover, eller en årlig omsætning på over 50 mio. euro og en samlet balance på over 43 mio. euro — samt visse enheder uanset størrelse (bl.a. kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere).
• Vigtig enhed (§ 5): enheder omfattet af bilag 1 eller 2, der ikke opfylder kriterierne for væsentlige enheder, men fx beskæftiger 50 personer eller derover eller har en årlig omsætning på over 10 mio. euro og en samlet balance på over 10 mio. euro.

Begge kategorier er underlagt den samme underretningspligt efter § 12.

> Bemærk: Den præcise elektroniske indberetnings- eller registreringskanal hos den relevante kompetente myndighed fremgår ikke entydigt af lovteksten. [TÄPSUSTAB PARTNER-JURIST]

Hvornår er en hændelse "væsentlig"?

Underretningspligten udløses, når der er tale om en væsentlig hændelse. Efter NIS2-loven § 12, stk. 2, anses en hændelse for at være væsentlig, hvis én af følgende betingelser er opfyldt:

1. Hændelsen har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed. 2. Hændelsen har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.

Underretningen skal desuden indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger af hændelsen (§ 12, stk. 1).

Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om, hvornår en hændelse kan anses for at være væsentlig (§ 12, stk. 3).

De konkrete meldefrister trin for trin

NIS2-loven § 13 fastlægger en fasedelt rapportering. Fristerne regnes fra det tidspunkt, hvor enheden har fået kendskab til den væsentlige hændelse:

Pågår hændelsen fortsat, når den endelige rapport skulle indsendes, skal enheden i stedet indsende en statusrapport på det tidspunkt og derefter en endelig rapport senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5).

Særligt for tillidstjenesteudbydere: Ved væsentlige hændelser skal disse afgive hændelsesunderretningen efter § 13, stk. 1, nr. 2, uden unødigt ophold og senest inden for 24 timer efter at være blevet bekendt med hændelsen (§ 13, stk. 2).

CSIRT'ens svar: CSIRT'en sikrer, at den underrettende enhed uden unødigt ophold og inden for 24 timer efter modtagelsen af den tidlige varsling får et svar, herunder indledende tilbagemeldinger. Efter anmodning yder CSIRT'en desuden vejledning, operativ rådgivning om afbødende foranstaltninger og supplerende teknisk bistand (§ 13, stk. 3).

Hvorfor overholdelse af fristerne betaler sig

Underretningspligten hænger tæt sammen med de øvrige krav i loven. Efter NIS2-loven § 6 skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre cybersikkerhedsrisici — herunder håndtering af hændelser (§ 6, stk. 1, nr. 2). En velfungerende hændelseshåndtering er derfor forudsætningen for, at I overhovedet kan overholde de korte meldefrister.

Sanktioner: Efter NIS2-loven § 32 straffes med bøde bl.a. den, der overtræder § 12, stk. 1, eller § 13, stk. 1 eller 2 — altså selve underretningspligten og meldefristerne. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). De konkrete bødeniveauer fremgår ikke af selve lovteksten. [TÄPSUSTAB PARTNER-JURIST]

Praktiske skridt for VKE-ledelsen:

• Kortlæg, om jeres virksomhed er en væsentlig eller vigtig enhed efter §§ 4-5.
• Identificér den kompetente myndighed for netop jeres sektor og etablér kontakt til den relevante CSIRT.
• Indfør en intern proces, der sikrer, at 24-timers og 72-timers fristerne kan overholdes fra det øjeblik, hændelsen opdages.
• Forbered skabeloner til tidlig varsling, hændelsesunderretning og endelig rapport.

Loven trådte i kraft den 1. juli 2025 (§ 33).

Brug vores gratis scoping- og gap-værktøj til at afklare, om I er omfattet, og hvor I står i forhold til underretningspligten.