NIS2-registrering i Danmark: hvem skal registrere sig, hvor og hvornår?

Hvad kræver NIS2-loven af danske virksomheder?

Danmark har gennemført NIS2-direktivet med Lov nr. 434 af 6. maj 2025 (NIS2-loven), som trådte i kraft den 1. juli 2025 (§ 33).

Loven skelner mellem to typer af enheder:

• Væsentlig enhed (statutarisk term for "essential entity")
• Vigtig enhed (statutarisk term for "important entity")

Begge typer skal blandt andet træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer (§ 6) samt underrette den relevante kompetente myndighed og CSIRT om væsentlige hændelser (§ 12).

Det første skridt for en virksomhed er dog at afklare, om den overhovedet er omfattet, og derefter at indgive de nødvendige oplysninger inden for lovens frist.

Hvem er omfattet — væsentlig eller vigtig enhed?

Om din virksomhed er en væsentlig enhed eller en vigtig enhed afhænger af, hvilket bilag i loven virksomhedens type falder ind under, samt af virksomhedens størrelse.

Væsentlig enhed (§ 4) — en enhed af en type omfattet af lovens bilag 1 anses som væsentlig, hvis den opfylder én af følgende betingelser:

• Enheden beskæftiger 250 personer eller derover, eller
• Enheden har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro.

Uanset størrelse anses blandt andre disse for væsentlige enheder (§ 4, stk. 3):

• Kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere
• Offentlige forvaltningsenheder under den centrale forvaltning
• Enheder identificeret som kritiske enheder efter CER-loven

Kommuner og regioner kan under nærmere betingelser anses som væsentlige enheder (§ 4, stk. 2).

Vigtig enhed (§ 5) — en enhed af en type omfattet af lovens bilag 1 eller 2 anses som vigtig, hvis den ikke opfylder kriterierne for at være væsentlig, og den opfylder mindst én af følgende:

• Enheden beskæftiger 50 personer eller derover, eller
• Enheden har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro.

Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses altid for vigtige enheder (§ 5, stk. 3).

Er du i tvivl om, hvilket bilag og hvilken kategori din virksomhed hører under, kan et gratis scoping-værktøj hjælpe dig med at afklare det trin for trin.

Hvor og hvornår skal oplysningerne indgives?

NIS2-loven fastsætter en frist for indgivelse af oplysninger. Ifølge § 33, stk. 3, gælder:

> Oplysningerne efter § 9, stk. 1, og § 10, stk. 1, skal indgives senest den 1. oktober 2025.

Dette er den frist, loven udtrykkeligt angiver for indgivelse af de pågældende oplysninger. Hvilke konkrete oplysninger der skal indgives efter § 9, stk. 1, og § 10, stk. 1, samt den præcise elektroniske indberetnings- eller registreringskanal, fremgår ikke entydigt af de her tilgængelige bestemmelser: [TÄPSUSTAB PARTNER-JURIST].

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører tilsyn på deres respektive sektorområder — der er altså ikke én central myndighed for alle sektorer. De sektoransvarlige myndigheder er udpeget ved bekendtgørelse uden for selve NIS2-loven. Hvilken kompetent myndighed der er relevant for netop din virksomhed, afhænger derfor af din sektor: [TÄPSUSTAB PARTNER-JURIST].

Uanset kanalen bør virksomheder ikke afvente afklaringen med at kortlægge deres status — fristen den 1. oktober 2025 er kort, og forberedelsen af de nødvendige oplysninger tager tid.

Hvilke pligter følger efter registreringen?

Når en virksomhed er omfattet som væsentlig eller vigtig enhed, følger blandt andet disse løbende pligter:

• Risikostyringsforanstaltninger (§ 6): politikker for risikoanalyse, håndtering af hændelser, driftskontinuitet og backup, forsyningskædesikkerhed, kryptografi, adgangskontrol, multifaktorautentificering med videre.
• Underretning om væsentlige hændelser (§ 12): underretning til den relevante kompetente myndighed og CSIRT.
• Meldefrister (§ 13):
• Tidlig varsling uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til hændelsen.
• Hændelsesunderretning senest inden for 72 timer.
• Endelig rapport senest 1 måned efter hændelsesunderretningen.
• Tillidstjenesteudbydere afgiver underretning inden for 24 timer (§ 13, stk. 2).

De kompetente myndigheder fører tilsyn med væsentlige enheders overholdelse af loven og kan blandt andet foretage kontrol på stedet, sikkerhedsaudits og sikkerhedsscanninger samt kræve oplysninger udleveret (§ 21).

Konsekvenser ved manglende overholdelse: Efter § 32 straffes med bøde blandt andre den, der overtræder § 6, stk. 1 eller 2, § 12, stk. 1, eller § 13, stk. 1 eller 2, eller som hindrer de kompetente myndigheder i at føre tilsyn. Der kan pålægges juridiske personer strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2).