NIS2 for transportvirksomheder i Danmark: luft, jernbane, vand og trafikledelse

Er transportsektoren omfattet af NIS2-loven i Danmark?

Ja. Transport er udtrykkeligt nævnt som sektor 2 i bilag 1 til NIS2-loven (Lov nr. 434 af 6. maj 2025), der oplister »Sektorer af særlig kritisk betydning«, og bilaget dækker delsektorerne luft, jernbane, vand og vejtransport. Om din konkrete virksomhed er omfattet, afgøres af, om den er en type enhed, der er nævnt i bilaget, kombineret med størrelseskriterierne i § 4 (væsentlig enhed) og § 5 (vigtig enhed).

Det første skridt er derfor konkret: sammenhold din virksomheds faktiske aktivitet med ordlyden i bilag 1, sektor 2, og opgør derefter antal beskæftigede, årlig omsætning og årlig samlet balance. Loven trådte i kraft den 1. juli 2025 (§ 33). Med samme bestemmelse blev lov nr. 441 af 8. maj 2018 om sikkerhed i net- og informationssystemer i transportsektoren ophævet (§ 33, stk. 7) — transportvirksomheder skal altså forholde sig til det nye regelsæt.

Sådan omtaler bilag 1 transportsektoren (ordlyden)

NIS2-lovens bilag 1, punkt 2) Transport, opdeler sektoren i fire delsektorer med følgende typer enheder:

a) Luft

• »Luftfartsselskaber som defineret i artikel 3, nr. 4, i forordning (EF) nr. 300/2008, der anvendes til kommercielle formål«
• »Lufthavnsdriftsorganer som defineret i artikel 2, nr. 2, i Europa-Parlamentets og Rådets direktiv 2009/12/EF, lufthavne som defineret i nævnte direktivs artikel 2, nr. 1, herunder de hovedlufthavne, der er anført i afsnit 2 i bilag II til Europa-Parlamentets og Rådets forordning (EU) nr. 1315/2013; og enheder med tilknyttede anlæg i lufthavne«
• »Trafikledelses- og kontroloperatører, der udøver flyvekontroltjenester som defineret i artikel 2, nr. 1, i Europa-Parlamentets og Rådets forordning (EF) nr. 549/2004«

b) Jernbane

• »Infrastrukturforvaltere som defineret i artikel 3, nr. 2, i Europa-Parlamentets og Rådets direktiv 2012/34/EU«
• »Jernbanevirksomheder som defineret i artikel 3, nr. 1, i direktiv 2012/34/EU, herunder operatører af servicefaciliteter som defineret i nævnte direktivs artikel 3, nr. 12«

c) Vand

• »Rederier, som udfører passager- og godstransport ad indre vandveje, i højsøfarvand eller kystnært farvand som defineret for søtransport i bilag I til Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004, bortset fra de enkelte fartøjer, som drives af disse rederier«
• »Driftsorganer i havne som defineret i artikel 3, nr. 1, i Europa-Parlamentets og Rådets direktiv 2005/65/EF, herunder deres havnefaciliteter som defineret i artikel 2, nr. 11, i forordning (EF) nr. 725/2004; og enheder, der opererer anlæg og udstyr i havne«
• »Operatører af skibstrafiktjenester som defineret i artikel 3, litra o, i Europa-Parlamentets og Rådets direktiv 2002/59/EF«

d) Vejtransport (trafikledelse)

• »Vejmyndigheder som defineret i artikel 2, nr. 12, i Kommissionens delegerede forordning (EU) 2015/962, der er ansvarlige for trafikledelse, med undtagelse af offentlige enheder, for hvilke trafikledelse eller drift af intelligente transportsystemer er en ikkevæsentlig del af deres generelle aktivitet«
• »Operatører af intelligente transportsystemer som defineret i artikel 4, nr. 1, i Europa-Parlamentets og Rådets direktiv 2010/40/EU«

Bemærk, at bilaget beskriver funktioner og roller, ikke branchen som helhed. En virksomhed, hvis aktivitet ikke svarer til en af de nævnte typer enheder, falder ikke ind under transportsektoren i bilag 1.

Væsentlig enhed eller vigtig enhed — størrelseskriterierne

Transportenheder i bilag 1 klassificeres efter to statutariske kategorier:

Størrelse er ikke altid afgørende. Efter § 4, stk. 3, nr. 5, anses en enhed af en type omfattet af bilag 1 eller 2 uanset størrelse for at være en væsentlig enhed, hvis mindst én betingelse er opfyldt — bl.a. at enheden er den eneste udbyder i Danmark af en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter, at en forstyrrelse kan have væsentlig indvirkning på den offentlige sikkerhed eller folkesundheden, at forstyrrelsen kan medføre en væsentlig systemisk risiko, eller at enheden er kritisk på grund af sin specifikke betydning på nationalt eller regionalt plan for sektoren. Enheder, der er identificeret som kritiske enheder efter CER-loven, er ligeledes væsentlige enheder uanset størrelse (§ 4, stk. 3, nr. 3). Den kompetente myndighed kan efter § 5, stk. 2, træffe afgørelse om, at en enhed omfattet af § 4, stk. 3, nr. 4 eller 5, i stedet anses for en vigtig enhed.

Kernekrav: risikostyring, ledelsens ansvar og oplysninger

Loven stiller de samme materielle krav til væsentlige og vigtige enheder — der er ingen særlige, sektorspecifikke pligter for transport i lovteksten. Efter § 6, stk. 1, skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Foranstaltningerne skal som minimum omfatte:

1. Politikker for risikoanalyse og informationssystemsikkerhed 2. Håndtering af hændelser 3. Driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring 4. Forsyningskædesikkerhed, herunder forholdene til direkte leverandører og tjenesteudbydere 5. Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder 6. Politikker og procedurer til vurdering af foranstaltningernes effektivitet 7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse 8. Politikker og procedurer om brug af kryptografi og, hvor det er relevant, kryptering 9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver 10. Multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt, hvor det er relevant

Det svarer til minimumslisten i art 21(2) i direktiv (EU) 2022/2555. Overholder enheden ikke ét eller flere krav, skal den uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).

Ledelsen kan ikke uddelegere ansvaret. Foranstaltningerne skal godkendes af enhedens ledelsesorgan, som også fører tilsyn med gennemførelsen (§ 7, stk. 1). Medlemmerne af ledelsesorganet skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes de øvrige ansatte (§ 7, stk. 2).

Loven forudsætter også, at enheder indgiver oplysninger efter § 9, stk. 1, og § 10, stk. 1; disse oplysninger skulle indgives senest den 1. oktober 2025 (§ 33, stk. 3). Den præcise elektroniske indberetnings- eller registreringskanal fremgår ikke entydigt af lovteksten — bekræft venligst kanalen i den kompetente myndigheds offentliggjorte vejledning (officiel kilde).

Underretning om væsentlige hændelser og frister

Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT om enhver væsentlig hændelse (§ 12, stk. 1). Underretningen skal indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger.

En hændelse anses for væsentlig, hvis den (1) har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller (2) har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade (§ 12, stk. 2).

Fristerne efter § 13, stk. 1, er:

• Tidlig varsling: uden unødigt ophold og senest inden for 24 timer efter, at enheden har fået kendskab til den væsentlige hændelse. Varslingen skal angive, om hændelsen mistænkes at være forårsaget af ulovlige eller ondsindede handlinger eller kunne have en grænseoverskridende virkning.
• Hændelsesunderretning: uden unødigt ophold og under alle omstændigheder inden for 72 timer efter kendskabet. Den ajourfører den tidlige varsling og giver en indledende vurdering af hændelsens alvor og indvirkning samt kompromitteringsindikatorer, hvor sådanne foreligger.
• Foreløbig rapport: med relevante statusopdateringer, efter anmodning fra CSIRT'en.
• Endelig rapport: senest 1 måned efter fremsendelsen af hændelsesunderretningen, med detaljeret beskrivelse, sandsynlig grundlæggende årsag, anvendte og igangværende afbødende foranstaltninger samt eventuelle grænseoverskridende virkninger.
• Pågår hændelsen fortsat, indsendes en statusrapport på det tidspunkt og en endelig rapport senest 1 måned efter, at hændelsen er håndteret.

CSIRT'en skal give enheden svar, herunder indledende tilbagemeldinger, uden unødigt ophold og inden for 24 timer efter modtagelsen af den tidlige varsling (§ 13, stk. 3). I praksis betyder det, at et transportselskab skal have en vagtordning og en fast beslutningsvej, der kan aktiveres samme døgn.

Tilsyn og bøder

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører på deres respektive områder tilsyn med væsentlige enheders overholdelse af loven (§ 21, stk. 1). Der er altså ikke én central myndighed for alle sektorer; de sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 2. juni 2025, uden for selve NIS2-loven.

Tilsynsforanstaltningerne over for en væsentlig enhed omfatter bl.a. kontrol på stedet og eksternt tilsyn uden retskendelse, herunder stikprøvekontroller, regelmæssige og målrettede sikkerhedsaudits (eventuelt udført af et kvalificeret uafhængigt organ), sikkerhedsscanninger samt krav om udlevering af oplysninger, data og dokumentation for gennemførelsen af cybersikkerhedspolitikker (§ 21, stk. 1, nr. 1-7).

Bøder. Efter § 32, stk. 1, straffes med bøde bl.a. den, der overtræder § 6, stk. 1 eller 2, §§ 9 eller 10, § 11, stk. 1-6, § 12, stk. 1, § 13, stk. 1 eller 2, eller § 15, samt den, der undlader at efterkomme en kompetent myndigheds afgørelser, påbud eller forbud, eller hindrer de kompetente myndigheder i at føre tilsyn. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). Bødeniveauer og konkrete beløb fremgår ikke af lovteksten — bekræft venligst niveauet i den kompetente myndigheds offentliggjorte vejledning (officiel kilde).

En praktisk rækkefølge for en transportvirksomhed: afklar først om din aktivitet svarer til en type enhed i bilag 1, sektor 2; opgør derefter størrelsen efter §§ 4 og 5; og gennemgå til sidst de ti minimumsforanstaltninger i § 6 punkt for punkt som en enkel selvevaluering.