NIS2-tilsyn og håndhævelse i Danmark: hvad myndigheden må

Hvem fører tilsyn med NIS2 i Danmark?

Danmark har valgt en decentral tilsynsmodel. Der er ikke én central NIS2-myndighed, men flere kompetente myndigheder, der hver især fører tilsyn på deres respektive sektorområde. Grundlaget er NIS2-loven (Lov nr. 434 af 6. maj 2025), som trådte i kraft 1. juli 2025 (§ 33).

De konkrete sektoransvarlige myndigheder er ikke udpeget i selve loven, men ved bekendtgørelse nr. 620 af 02.06.2025. I praksis betyder det, at din virksomhed skal kende den kompetente myndighed for netop din sektor — det er den myndighed, der kan komme på tilsyn og kræve dokumentation.

De kompetente myndigheder fører tilsyn med, at væsentlige enheder og vigtige enheder overholder loven og de regler, der udstedes i medfør af den. Ved en væsentlig hændelse skal enheden desuden underrette både den relevante kompetente myndighed og CSIRT (§ 12).

Er du i tvivl om, hvilken kategori din virksomhed falder i, kan du bruge vores gratis scoping-værktøj til en første afklaring.

Tilsynsbeføjelser: audits, inspektioner og oplysningskrav

For væsentlige enheder fastlægger § 21 en bred vifte af tilsynsforanstaltninger, som den kompetente myndighed kan anvende:

• Kontrol på stedet og eksternt tilsyn — herunder stikprøvekontroller — uden retskendelse og mod behørig legitimation (§ 21, stk. 1, nr. 1).
• Regelmæssige og målrettede sikkerhedsaudits, eller krav om, at et kvalificeret uafhængigt organ foretager dem, og at resultaterne stilles til rådighed for myndigheden (nr. 2).
• Sikkerhedsaudits (nr. 3) og sikkerhedsscanninger (nr. 4).
• Krav om udlevering af oplysninger, der er nødvendige for at vurdere enhedens foranstaltninger til styring af cybersikkerhedsrisici (nr. 5).
• Krav om adgang til data, dokumenter og oplysninger, der er nødvendige for tilsynet — også med henblik på at afgøre, om et forhold er omfattet af loven (nr. 6).
• Krav om dokumentation for gennemførelsen af cybersikkerhedspolitikker (nr. 7).

Når myndigheden anvender beføjelserne i nr. 5-7, skal den ifølge § 21, stk. 2 angive formålet og præcisere, hvilke oplysninger der kræves, samt hvordan og i hvilken form materialet skal udleveres. Det giver enheden en vis forudsigelighed om, hvad der forlanges.

Væsentlige enheder vs. vigtige enheder

Loven skelner mellem to statutariske kategorier:

• Væsentlig enhed (essential) — jf. § 4. Typisk enheder omfattet af lovens bilag 1, der beskæftiger 250 personer eller derover, eller har en årlig omsætning på over 50 mio. euro og en balance på over 43 mio. euro. Visse enheder er væsentlige uanset størrelse, fx offentlige forvaltningsenheder under den centrale forvaltning og kvalificerede tillidstjenesteudbydere (§ 4, stk. 3).
• Vigtig enhed (important) — jf. § 5. Enheder omfattet af bilag 1 eller 2, der ikke opfylder kriterierne for at være væsentlige, men beskæftiger 50 personer eller derover, eller har en omsætning på over 10 mio. euro og en balance på over 10 mio. euro.

Tilsynsbeføjelserne over for væsentlige enheder følger af § 21. Loven henviser desuden til tilsyns- og håndhævelsesbeføjelser for enheder i § 24 og § 25 (jf. § 32, som gør det strafbart at hindre tilsyn efter § 24 og at undlade at efterkomme påbud efter § 25). Den præcise afgrænsning af, i hvilket omfang tilsynet med vigtige enheder er efterfølgende (ex-post) frem for løbende (ex-ante), fremgår ikke entydigt af de her tilgængelige bestemmelser — [TÄPSUSTAB PARTNER-JURIST].

Uanset kategori gælder de grundlæggende sikkerhedskrav i § 6 for både væsentlige og vigtige enheder, herunder risikoanalyse, hændelseshåndtering, driftskontinuitet og forsyningskædesikkerhed.

Hvad du kan forvente i praksis — og hvad det koster at lade stå til

Et tilsyn kan i praksis begynde med en anmodning om oplysninger og dokumentation og udvikle sig til en audit eller kontrol på stedet. Myndigheden kan træffe afgørelser og udstede påbud, og manglende efterlevelse kan få konsekvenser.

Straf efter § 32 — Med bøde straffes blandt andet den, der:

• overtræder de grundlæggende sikkerhedskrav i § 6, stk. 1 eller 2, eller underretningspligten i § 12, stk. 1, og fristerne i § 13, stk. 1 eller 2 (§ 32, stk. 1, nr. 1),
• undlader at efterkomme en kompetent myndigheds afgørelse eller påbud (nr. 2-4),
• hindrer myndigheden i at føre tilsyn efter § 21, stk. 1, nr. 1-4 (nr. 5).

Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). Bemærk, at loven fastsætter bødestraf — de specifikke bødeniveauer eller EU-beløb er ikke angivet i lovteksten, og den nærmere udmåling er [TÄPSUSTAB PARTNER-JURIST].

Sådan forbereder du dig:

• Kortlæg, om I er væsentlig eller vigtig enhed (§ 4 / § 5).
• Dokumentér jeres foranstaltninger efter § 6 — myndigheden kan kræve netop denne dokumentation.
• Hav en klar hændelsesproces klar, så I kan overholde 24-timers tidlig varsling og 72-timers hændelsesunderretning (§ 13).

Start med en gap-analyse i vores gratis værktøj for at se, hvor I står i forhold til lovens krav.