Sådan udarbejder og kontrollerer NIS2Europe dine dokumenter

Retsgrundlaget: hvilken lov dokumentationen bygger på

Grundlaget for NIS2-dokumentation i Danmark er Lov nr. 434 af 6. maj 2025 (NIS2-loven). Loven trådte i kraft den 1. juli 2025, jf. § 33. Efter § 33, stk. 3, skulle oplysningerne efter § 9, stk. 1, og § 10, stk. 1, indgives senest den 1. oktober 2025.

Den bestemmelse, der afgør, hvad dokumentationen indholdsmæssigt skal dække, er § 6. Efter § 6, stk. 1, skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til at styre risiciene for sikkerheden i net- og informationssystemer. Foranstaltningerne skal som minimum omfatte ti punkter:

• Politikker for risikoanalyse og informationssystemsikkerhed
• Håndtering af hændelser
• Driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe og krisestyring
• Forsyningskædesikkerhed, herunder forholdene til direkte leverandører eller tjenesteudbydere
• Sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder
• Politikker og procedurer til vurdering af effektiviteten af foranstaltningerne
• Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse
• Politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering
• Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver
• Brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt hos enheden, hvor det er relevant

Hertil kommer § 7: foranstaltningerne skal være godkendt af enhedens ledelsesorgan, som også fører tilsyn med gennemførelsen, og ledelsesorganets medlemmer skal deltage i relevante kurser om styring af cybersikkerhedsrisici. Opfylder enheden ikke ét eller flere krav, skal den efter § 6, stk. 2, uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger. En dokumentationspakke, der ikke afspejler disse punkter, mangler altså et lovbestemt element.

Den kompetente myndighed og meldefristerne

Danmark anvender en decentral tilsynsmodel. Den statutariske term er den kompetente myndighed (NIS2-loven §§ 12 og 21-26), og de kompetente myndigheder fører tilsyn på deres respektive sektorområder — der er altså ikke én central myndighed. De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025, altså uden for selve NIS2-loven.

Underretningspligten står i § 12:

> "Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og Computer Security Incident Response Team (CSIRT) om enhver væsentlig hændelse."

— NIS2-loven § 12, 1. pkt. (Lov nr. 434 af 6. maj 2025)

En hændelse anses efter § 12, stk. 2, for væsentlig, hvis den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller hvis den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.

Fristerne følger af § 13, stk. 1, og skal fremgå hver for sig af dokumentationens hændelsesprocedure:

• Tidlig varsling sendes uden unødigt ophold, og senest inden for 24 timer efter at enheden har fået kendskab til den væsentlige hændelse (§ 13, stk. 1, nr. 1).
• Hændelsesunderretning sendes uden unødigt ophold, og under alle omstændigheder inden for 72 timer efter at enheden har fået kendskab til den væsentlige hændelse (§ 13, stk. 1, nr. 2).
• Foreløbig rapport med relevante statusopdateringer sendes efter anmodning fra CSIRT'en (§ 13, stk. 1, nr. 3).
• Endelig rapport sendes senest 1 måned efter fremsendelsen af hændelsesunderretningen (§ 13, stk. 1, nr. 4).
• Pågår hændelsen fortsat, indsendes en statusrapport og en endelig rapport senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5).

For tillidstjenesteudbydere gælder efter § 13, stk. 2, at underretningen efter stk. 1, nr. 2, afgives uden unødigt ophold og senest inden for 24 timer. Den præcise elektroniske indberetnings- eller registreringskanal fremgår ikke entydigt af lovteksten — bekræft venligst kanalen hos den kompetente myndighed på jeres sektorområde (officiel kilde).

Virksomhedens egen profil afgør, hvad der skal med

Tre forhold styrer, hvilke pligter der overhovedet kommer ind i dokumentationen: sektoren, størrelsen og den statutariske klassifikation.

Sektoren afgøres af lovens bilag. Bilag 1 dækker sektorer af særlig kritisk betydning (bl.a. energi, transport, bankvirksomhed, finansielle markedsinfrastrukturer, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af ikt-tjenester, offentlig forvaltning og rummet). Bilag 2 dækker andre kritiske sektorer (bl.a. post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning).

Størrelse og klassifikation følger af §§ 4 og 5:

Kommuner og regioner anses efter § 4, stk. 2, som væsentlige enheder på nærmere angivne betingelser, når de med kommercielt formål udfører opgaver som udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester. Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses efter § 5, stk. 3, for vigtige enheder uanset størrelse.

Profilen fastlægges derfor først — derefter samles kun de bestemmelser, der faktisk finder anvendelse på enheden.

Hvordan hvert krav kontrolleres mod lovteksten

Selve kontrollen er en systematisk sammenligning, ikke en vurdering ud fra praksis eller vane. Metoden er enkel og kan gentages:

1. Hvert udsagn isoleres. Dokumentationen brydes ned i enkeltstående påstande — én sætning, én pligt. 2. Hvert udsagn får en påstået hjemmel. Fx henføres et afsnit om backup og reetablering til § 6, stk. 1, nr. 3, et afsnit om leverandørforhold til § 6, stk. 1, nr. 4, og hændelsesproceduren til §§ 12 og 13. 3. Udsagnet holdes op mod bestemmelsens ordlyd. Siger bestemmelsen det samme, mere eller mindre? Er en frist gengivet ord for ord som i § 13? Er klassifikationen brugt med lovens egne termer, væsentlig enhed og vigtig enhed? 4. Udsagn uden dækning rettes. Et udsagn, som ingen bestemmelse understøtter, bliver enten omformuleret, så det svarer til bestemmelsen, eller fjernet — inden dokumentet tages i brug. Det gælder også tal, datoer og paragrafnumre, der ikke kan findes i den officielle tekst. 5. Det, loven ikke regulerer, markeres som sådant. Hvor lovteksten ikke er entydig — fx den konkrete indberetningskanal — noteres det åbent i dokumentet med henvisning til, at forholdet skal bekræftes hos den kompetente myndighed, i stedet for at der skrives et gæt ind.

Resultatet er ikke en erklæring om, at virksomheden opfylder loven. Det er et dokument, hvor hver enkelt sætning kan spores tilbage til en bestemmelse — og hvor det er synligt, hvad der endnu mangler.

Hvad der forbliver efterprøvbart bagefter

Værdien af dokumentationen viser sig, når en udenforstående skal læse den. Derfor står lovens fulde navn — Lov nr. 434 af 6. maj 2025 (NIS2-loven) — og den konkrete bestemmelse ved siden af hvert krav, i lovens egen nummerering: § 4, § 5, § 6, stk. 1, nr. 1-10, § 7, § 12, § 13, stk. 1, nr. 1-5, § 13, stk. 2, § 21.

Det er relevant, fordi tilsynsbeføjelserne er brede. Efter § 21, stk. 1, kan en kompetent myndighed over for en væsentlig enhed bl.a. foretage kontrol på stedet og eksternt tilsyn uden retskendelse, gennemføre sikkerhedsaudits og sikkerhedsscanninger, kræve oplysninger udleveret og kræve adgang til data, dokumenter og oplysninger. Myndigheden kan desuden:

> "Kræve at få udleveret dokumentation for gennemførelsen af cybersikkerhedspolitikker."

— NIS2-loven § 21, stk. 1, nr. 7 (Lov nr. 434 af 6. maj 2025)

Efter § 21, stk. 2, skal myndigheden ved brug af beføjelserne i stk. 1, nr. 5-7, angive formålet og præcisere, hvilke oplysninger der kræves udleveret, samt hvordan og i hvilken form.

En tilsynsmedarbejder, en revisor eller en indkøbende kunde i forsyningskæden kan dermed tage én vilkårlig påstand i dokumentet, slå den anførte bestemmelse op i den officielle lovtekst og selv se, om der er overensstemmelse. Overtrædelser af bl.a. § 6, stk. 1 eller 2, § 12, stk. 1, og § 13, stk. 1 eller 2, kan efter § 32 straffes med bøde, og efter § 32, stk. 2, kan der pålægges juridiske personer strafansvar efter reglerne i straffelovens 5. kapitel. Sporbarheden gør derfor ikke dokumentet stærkere i sig selv — den gør det muligt at efterprøve, om indholdet holder.