Risikostyringspolitikken efter NIS2-loven: hvad dokumentet skal indeholde i Danmark

Lovens udgangspunkt: hvad politikken bygger på

Den danske gennemførelse af NIS2 er Lov nr. 434 af 6. maj 2025 (NIS2-loven), der trådte i kraft den 1. juli 2025 (§ 33). Kravene til selve risikostyringen står i lovens § 6.

Udgangspunktet er formuleret sådan i loven:

> "Væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer" (NIS2-loven § 6, stk. 1).

Det er den sætning, hele dokumentet skal kunne føres tilbage til. Politikken er ikke en fri tekst om god it-skik: den er beskrivelsen af, hvilke foranstaltninger virksomheden har truffet, og hvorfor de er passende og forholdsmæssige i netop jeres tilfælde.

Opdager virksomheden selv, at et eller flere af kravene ikke er opfyldt, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2). En politik, der også beskriver, hvordan sådanne afvigelser registreres og lukkes, dækker altså et selvstændigt lovkrav.

De ti minimumspunkter — afsnit for afsnit

§ 6, stk. 1, siger, at foranstaltningerne som minimum skal omfatte ti punkter. En praktisk struktur er at lade politikkens kapitler følge dem i samme rækkefølge, så hvert kapitel bærer sin egen henvisning:

Bemærk formuleringen »hvor det er relevant« i nr. 10 (og i nr. 8 om kryptering). Den giver ikke lov til at springe punktet over — den kræver, at politikken forholder sig til det og beskriver vurderingen.

Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om foranstaltningerne (§ 6, stk. 3). Politikken bør derfor være skrevet, så den kan opdateres, når sådanne regler kommer til på jeres sektorområde.

Alle farer og forholdsmæssighed: derfor ligner to politikker ikke hinanden

Lovens ord er *passende og forholdsmæssige* (§ 6, stk. 1). Bag den formulering ligger direktivets princip om, at foranstaltningerne »baseres på en tilgang, der omfatter alle farer« og sigter på at beskytte net- og informationssystemer og deres fysiske miljø mod hændelser (direktiv (EU) 2022/2555, art 21(2)).

Alle farer betyder, at politikken ikke kun må handle om hackerangreb. Strømafbrydelse, brand og vandskade i serverrummet, en nøglemedarbejders fravær, en leverandør der går ned — alt, der kan forstyrre systemerne, hører med.

Proportionaliteten vurderes ud fra graden af enhedens eksponering for risici, enhedens størrelse og sandsynligheden for hændelser og deres alvor, herunder deres samfundsmæssige og økonomiske indvirkning (direktiv (EU) 2022/2555, art 21(1)). Samme bestemmelse peger på det aktuelle teknologiske stade, relevante europæiske og internationale standarder samt gennemførelsesomkostningerne.

Det er derfor to virksomheder i samme sektor lovligt kan have forskellige politikker: kravene er de samme ti punkter, men dybden er ikke.

Hvilke dele afhænger af jeres egen profil

Fire forhold afgør, hvordan dokumentet skrives:

• Sektoren. Bilag 1 til NIS2-loven omfatter sektorer af særlig kritisk betydning (bl.a. energi, transport, bankvirksomhed, finansiel markedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af ikt-tjenester, offentlig forvaltning og rummet). Bilag 2 omfatter andre kritiske sektorer (bl.a. post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning).
• Størrelsen. En enhed af en type omfattet af bilag 1 er væsentlig enhed, hvis den beskæftiger 250 personer eller derover, eller har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro (§ 4, stk. 1). En enhed omfattet af bilag 1 eller 2, der ikke opfylder kriterierne i § 4, er vigtig enhed, hvis den beskæftiger 50 personer eller derover, eller har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 5, stk. 1).
• Klassifikationen uanset størrelse. § 4, stk. 3, gør bl.a. kvalificerede tillidstjenesteudbydere, topdomæneadministratorer, DNS-tjenesteudbydere og offentlige forvaltningsenheder under den centrale forvaltning til væsentlige enheder uanset størrelse. Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses for vigtige enheder (§ 5, stk. 3).
• Tjenesterne og afhængighederne. § 6, stk. 1, taler om de systemer, enheden anvender til deres operationer eller til at levere deres tjenester. Politikkens afsnit om forsyningskæde (§ 6, stk. 1, nr. 4) og driftskontinuitet (nr. 3) skal derfor tage udgangspunkt i jeres konkrete tjenester og direkte leverandører.

Bemærk, at pligterne i § 6 og § 7 gælder både væsentlige og vigtige enheder. Forskellen ligger primært i tilsynsordningen. Er I i tvivl om jeres klassifikation, er de sektoransvarlige myndigheder udpeget ved bekendtgørelse nr. 620 af 02.06.2025; bekræft venligst hos den kompetente myndighed på jeres sektorområde (officiel kilde).

Ledelsesorganets godkendelse, tilsyn og kurser

Politikken er ikke færdig, når den er skrevet. Loven siger:

> "De foranstaltninger, som en væsentlig eller vigtig enhed træffer på baggrund af § 6, stk. 1 og 2, og regler fastsat i medfør af § 6, stk. 3, skal være godkendt af enhedens ledelsesorgan. Ledelsesorganet fører tilsyn med foranstaltningernes gennemførelse." (NIS2-loven § 7, stk. 1).

Dokumentet bør derfor selv bære sporet af godkendelsen: hvem godkendte, hvornår, og hvordan ledelsesorganet løbende følger gennemførelsen.

Dertil kommer uddannelse. Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes til enhedens øvrige ansatte (§ 7, stk. 2). Det spiller sammen med § 6, stk. 1, nr. 7, om grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse — to bestemmelser, ét afsnit i politikken.

Sådan bliver politikken kontrollerbar

Tilsynet er beskrevet i § 21 for væsentlige enheder. Den kompetente myndighed kan bl.a. kræve at få udleveret oplysninger, der er nødvendige for at vurdere de indførte foranstaltninger til styring af cybersikkerhedsrisici (§ 21, stk. 1, nr. 5), kræve adgang til data, dokumenter og oplysninger (nr. 6) og kræve dokumentation for gennemførelsen af cybersikkerhedspolitikker (nr. 7). Myndigheden skal ved brug af nr. 5-7 angive formålet og præcisere, hvilke oplysninger der kræves udleveret, og i hvilken form (§ 21, stk. 2).

Det giver en enkel målestok for dokumentets kvalitet: hvert krav i politikken bør bære sin egen præcise henvisning — § 6, stk. 1, nr. 1-10, § 6, stk. 2, § 7, stk. 1 og 2. Så kan enhver læser, internt som eksternt, se hvilken bestemmelse afsnittet svarer på.

Politikkens afsnit om håndtering af hændelser (§ 6, stk. 1, nr. 2) bør pege videre til underretningspligten: væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse (§ 12, stk. 1). Den tidlige varsling sendes uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til hændelsen (§ 13, stk. 1, nr. 1). Hændelsesunderretningen sendes uden unødigt ophold og under alle omstændigheder inden for 72 timer (§ 13, stk. 1, nr. 2), og den endelige rapport senest 1 måned efter hændelsesunderretningen (§ 13, stk. 1, nr. 4).

Endelig er der en retlig grund til præcisionen: overtrædelse af § 6, stk. 1 eller 2, straffes med bøde (§ 32, stk. 1, nr. 1), og der kan pålægges juridiske personer strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). Loven fastsætter ikke selv beløbsstørrelser — spørgsmål om det konkrete niveau hører under den kompetente myndighed på jeres sektorområde og dens offentliggjorte vejledning (officiel kilde).