NIS2-underretning ved hændelser i Danmark: en praktisk trin-for-trin guide

1. Hvornår udløses underretningspligten?

Underretningspligten gælder for væsentlige enheder og vigtige enheder (afgrænset i NIS2-lovens §§ 4 og 5) og udløses ved enhver væsentlig hændelse, jf. Lov nr. 434 af 6. maj 2025 (NIS2-loven) § 12, stk. 1.

En hændelse anses efter § 12, stk. 2 for at være væsentlig, hvis en af følgende betingelser er opfyldt:

• Hændelsen har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed.
• Hændelsen har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.

Bemærk formuleringen "er i stand til at forårsage": du behøver ikke afvente, at skaden er indtruffet. Vurderingen skal foretages ud fra hændelsens potentiale — det er en af de mest oversete detaljer i praksis.

Efter § 12, stk. 3 kan vedkommende minister efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om, hvornår en hændelse kan anses for at være væsentlig. Om der på dit sektorområde er fastsat sådanne uddybende tærskler: [Bekræft dette: den kompetente myndighed (officiel kilde).].

Underretningen skal desuden indeholde oplysninger, der gør det muligt at fastslå eventuelle grænseoverskridende virkninger af hændelsen (§ 12, stk. 1).

2. Hvem skal du underrette — og ad hvilken kanal?

Efter NIS2-lovens § 12, stk. 1 skal enheden underrette to modtagere:

1. Den relevante kompetente myndighed, og 2. Computer Security Incident Response Team (CSIRT).

Danmark anvender en decentral tilsynsmodel: de kompetente myndigheder fører tilsyn på deres respektive sektorområder (NIS2-loven §§ 12 og 21-26), og der er altså ikke én central myndighed for alle sektorer. De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025, dvs. uden for selve NIS2-loven.

Praktisk konsekvens: det første du skal have på plads — før en hændelse — er at vide, *hvilken* kompetent myndighed der er din. Det afhænger af din sektor, ikke af din størrelse.

Den præcise elektroniske indberetnings- eller registreringskanal (portal, formular, mailadresse) hos den relevante kompetente myndighed fremgår ikke entydigt af lovteksten: [Bekræft dette: den kompetente myndighed (officiel kilde).]. Afklar derfor kanalen på forhånd og skriv den ind i din hændelsesberedskabsplan — 24 timer er ikke tid til at lede efter en formular.

Efter § 13, stk. 3 skal CSIRT'en sikre, at den underrettende enhed uden unødigt ophold og inden for 24 timer efter modtagelsen af den tidlige varsling får et svar, herunder indledende tilbagemeldinger. Efter anmodning skal CSIRT'en desuden yde vejledning, operativ rådgivning om afbødende foranstaltninger og supplerende teknisk bistand. Du står med andre ord ikke alene — men du skal bede om hjælpen.

3. De fire faser og deres indhold (§ 13, stk. 1)

NIS2-lovens § 13, stk. 1 fastlægger, at underretningen efter § 12, stk. 1 består af følgende trin:

Trin 1 — Tidlig varsling. Skal angive, om den væsentlige hændelse mistænkes at være forårsaget af ulovlige eller ondsindede handlinger, eller om den kunne have en grænseoverskridende virkning (§ 13, stk. 1, nr. 1). Dette er en kort alarm, ikke en analyse.

Trin 2 — Hændelsesunderretning. Skal ajourføre oplysningerne fra den tidlige varsling og give en indledende vurdering af hændelsen, herunder dens alvor og indvirkning samt kompromitteringsindikatorerne, hvor sådanne foreligger (§ 13, stk. 1, nr. 2).

Trin 3 — Foreløbig rapport. Sendes med relevante statusopdateringer efter anmodning fra CSIRT'en (§ 13, stk. 1, nr. 3). Den er altså ikke automatisk obligatorisk.

Trin 4 — Endelig rapport. Skal efter § 13, stk. 1, nr. 4 indeholde:

• en detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning,
• den type trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen,
• anvendte og igangværende afbødende foranstaltninger,
• de eventuelle grænseoverskridende virkninger af hændelsen.

Hændelsen er ikke slut endnu? Pågår hændelsen fortsat på tidspunktet for den endelige rapport, skal enheden indsende en statusrapport på det tidspunkt og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5).

4. Fristerne — præcist som de står i loven

Fristen løber fra kendskabet til hændelsen — ikke fra hændelsens begyndelse og ikke fra ledelsens beslutning. Dokumentér derfor tidspunktet for kendskab.

NIS2-loven trådte i kraft den 1. juli 2025 (§ 33).

5. To punkter, hvor den nationale lovtekst er tavs — og direktivet er baseline

Her er det vigtigt at være præcis om kilden:

• Underretning af dine egne kunder/tjenestemodtagere. Den nationale bestemmelse i § 12 og § 13 nævner ikke en pligt til at underrette modtagerne af tjenesterne. På dette punkt er det udtrukne nationale materiale tavst, og direktiv (EU) 2022/2555 art 23(1) udgør baseline: enheder skal, hvor det er relevant, uden unødigt ophold underrette modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen negativt. Hvordan dette konkret er gennemført i dansk ret: [Bekræft dette: den kompetente myndighed (officiel kilde).].
• Underretning skaber ikke øget ansvar. Princippet om, at selve underretningen ikke pålægger den underrettende enhed øget ansvar, fremgår af direktiv (EU) 2022/2555 art 23(1) — ikke af det nationale uddrag. Det er altså et direktivniveau-udgangspunkt, ikke en dansk lovtekst du kan citere.

Omvendt: de faser og frister, der er beskrevet i afsnit 3 og 4, står direkte i NIS2-lovens § 13 og skal derfor påberåbes som national ret.

6. Sanktioner og hvad du bør gøre i dag

Manglende overholdelse af § 12, stk. 1 og § 13, stk. 1 eller 2 er direkte nævnt i NIS2-lovens § 32, stk. 1, nr. 1 som strafbart med bøde. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). NIS2-loven angiver ingen beløbsgrænser eller omsætningsprocenter — bødeniveauet fastsættes efter de almindelige strafferetlige regler, og en konkret vurdering hører hos en jurist: [Bekræft dette: den kompetente myndighed (officiel kilde).].

Bemærk også, at håndtering af hændelser er et selvstændigt lovkrav til dine risikostyringsforanstaltninger, jf. § 6, stk. 1, nr. 2. Underretningsberedskabet er derfor ikke kun en formalitet ved en krise — det er en del af den løbende compliance, som den kompetente myndighed kan føre tilsyn med (§ 21).

Din tjekliste før næste hændelse:

1. Identificér din relevante kompetente myndighed (sektorspecifikt, jf. bekendtgørelse nr. 620 af 02.06.2025) og CSIRT'ens kontaktvej. 2. Skriv én A4-side: hvem beslutter, at en hændelse er væsentlig efter § 12, stk. 2 — og hvem trykker på knappen inden for 24 timer. 3. Lav en skabelon til hver af de fire faser i § 13, stk. 1. 4. Log tidspunktet for kendskab i alle hændelsessager.

Er du i tvivl om, hvorvidt din organisation overhovedet er en væsentlig enhed eller vigtig enhed — og hvor langt du er fra kravene? Brug vores gratis scoping- og gap-værktøj til på få minutter at få et overblik over din status og de vigtigste huller.