NIS2-loven i Danmark: den komplette guide for din virksomheds ledelse

Hvad er NIS2-loven, og hvornår trådte den i kraft?

NIS2-loven er Danmarks nationale gennemførelse af EU's NIS2-direktiv, direktiv (EU) 2022/2555. Loven har titlen Lov nr. 434 af 6. maj 2025 og fastlægger de krav til cybersikkerhed, som en lang række virksomheder og offentlige enheder skal leve op til.

Loven trådte i kraft den 1. juli 2025 (§ 33). Der er dog en central overgangsbestemmelse, som ledelsen skal have på nethinden: de oplysninger, der skal indgives efter § 9, stk. 1, og § 10, stk. 1, skal indgives senest den 1. oktober 2025 (§ 33, stk. 3).

Samtidig ophæver NIS2-loven en række tidligere love på området, herunder de sektorspecifikke NIS I-love fra 2018 om domænenavnssystemer, internetudvekslingspunkter, sundhedssektoren og transportsektoren (§ 33, stk. 4-7).

Denne guide gennemgår i rækkefølge: hvem der er omfattet, registreringspligten, sikkerhedsforanstaltningerne, meldepligten ved hændelser, bøder og ledelsesansvar samt tilsynet.

Hvem er omfattet? Væsentlige og vigtige enheder

NIS2-loven skelner mellem to statutariske kategorier: væsentlige enheder og vigtige enheder. Klassifikationen afgør, hvor intensivt tilsynet er.

Væsentlige enheder (§ 4)

En enhed af en type, der er omfattet af lovens bilag 1, anses som væsentlig enhed, hvis den opfylder én af følgende betingelser:

• Enheden beskæftiger 250 personer eller derover, eller
• Enheden har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro.

Uanset størrelse anses bl.a. følgende for væsentlige enheder (§ 4, stk. 3): kvalificerede tillidstjenesteudbydere, topdomæneadministratorer og DNS-tjenesteudbydere, offentlige forvaltningsenheder under den centrale forvaltning, enheder identificeret som kritiske enheder efter CER-loven samt operatører af væsentlige tjenester efter NIS I-direktivet.

Vigtige enheder (§ 5)

En enhed af en type, der er omfattet af lovens bilag 1 eller 2, anses som vigtig enhed, hvis den ikke opfylder kriterierne for at være væsentlig enhed, og den opfylder mindst én af følgende betingelser:

• Enheden beskæftiger 50 personer eller derover, eller
• Enheden har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro.

Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses altid for vigtige enheder (§ 5, stk. 3).

Særligt om kommuner og regioner: Kommuner og regioner anses som væsentlige enheder, hvis de med et kommercielt formål udfører opgaver som udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige kommunikationstjenester og beskæftiger 50 personer eller derover, eller har en omsætning over 10 mio. euro og en balance over 10 mio. euro (§ 4, stk. 2).

Registreringspligten og fristen

Loven pålægger omfattede enheder at indgive oplysninger til myndighederne. De oplysninger, der skal indgives efter § 9, stk. 1, og § 10, stk. 1, skal indgives senest den 1. oktober 2025 (§ 33, stk. 3).

Dette er en af de mest konkrete og tidskritiske forpligtelser i loven — og ofte det første skridt en enhed skal tage, når den har konstateret, at den er i scope. Manglende indgivelse af oplysningerne efter § 9 eller § 10 er strafsanktioneret (§ 32, stk. 1, nr. 1).

Den præcise elektroniske indberetnings- eller registreringskanal [TÄPSUSTAB PARTNER-JURIST], da den ikke fremgår entydigt af selve lovteksten.

De ti områder for risikostyring (tjekliste)

Både væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer og for at forhindre hændelser (§ 6, stk. 1). Dette svarer til de ti områder i direktivets art 21(2).

Brug denne oversigt som en tjekliste. Foranstaltningerne skal som minimum omfatte:

1. Politikker for risikoanalyse og informationssystemsikkerhed 2. Håndtering af hændelser 3. Driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring 4. Forsyningskædesikkerhed, herunder forholdet til direkte leverandører og tjenesteudbydere 5. Sikkerhed ved erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder 6. Politikker og procedurer til vurdering af effektiviteten af foranstaltningerne 7. Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse 8. Brug af kryptografi og, hvor relevant, kryptering 9. Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver 10. Multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation samt sikrede nødkommunikationssystemer, hvor det er relevant

En enhed, der ikke overholder ét eller flere af disse krav, skal uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger (§ 6, stk. 2).

Meldepligt ved hændelser og de konkrete frister

Væsentlige og vigtige enheder skal underrette den relevante kompetente myndighed og CSIRT (Computer Security Incident Response Team) om enhver væsentlig hændelse (§ 12, stk. 1).

Hvornår er en hændelse væsentlig? (§ 12, stk. 2)

En hændelse anses for væsentlig, hvis en af følgende betingelser er opfyldt:

• Hændelsen har forårsaget eller kan forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for enheden, eller
• Hændelsen har påvirket eller kan påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade.

Meldefristerne (§ 13, stk. 1):

Pågår hændelsen fortsat, når den endelige rapport skal sendes, indsendes en statusrapport, og den endelige rapport sendes senest 1 måned efter, at hændelsen er håndteret (§ 13, stk. 1, nr. 5).

Særligt for tillidstjenesteudbydere: De skal afgive hændelsesunderretningen (§ 13, stk. 1, nr. 2) uden unødigt ophold og senest inden for 24 timer efter at være blevet bekendt med hændelsen (§ 13, stk. 2).

CSIRT'en skal give den underrettende enhed et svar, herunder indledende tilbagemeldinger, inden for 24 timer efter modtagelsen af den tidlige varsling (§ 13, stk. 3).

Bøder og ledelsens ansvar

NIS2-loven er strafsanktioneret. Efter § 32 straffes med bøde bl.a. den, der overtræder:

• § 6, stk. 1 eller 2 (sikkerhedsforanstaltningerne),
• §§ 9 eller 10 og § 11, stk. 1-6 (bl.a. oplysningspligterne),
• § 12, stk. 1, og § 13, stk. 1 eller 2 (meldepligten ved hændelser),
• undlader at efterkomme en kompetent myndigheds afgørelse, påbud eller forbud, eller
• hindrer de kompetente myndigheder i at føre tilsyn.

Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2). I forskrifter udstedt i medfør af loven kan der desuden fastsættes bødestraf for overtrædelse af forskrifternes bestemmelser (§ 32, stk. 3).

Ledelsens ansvar: Efter NIS2-direktivets art 20(1) skal ledelsesorganerne i væsentlige og vigtige enheder godkende virksomhedens cybersikkerhedsforanstaltninger, føre tilsyn med gennemførelsen heraf og kan holdes ansvarlige for enhedens overtrædelser. Cybersikkerhed er dermed ikke længere alene en IT-opgave — det er et direktions- og bestyrelsesansvar.

Selve bødestørrelserne fastsættes efter dansk rets almindelige principper; loven indeholder ikke selv de konkrete beløb.

Tilsynsmyndigheden og hvordan tilsynet ser ud

Danmark anvender en decentral tilsynsmodel. Der er ikke én central myndighed, men de kompetente myndigheder, som fører tilsyn på deres respektive sektorområder (§§ 12, 21-26). De konkrete sektoransvarlige myndigheder er udpeget ved bekendtgørelse nr. 620 af 02.06.2025, altså uden for selve NIS2-loven.

For væsentlige enheder kan en kompetent myndighed som led i sit tilsyn efter § 21 bl.a.:

• Foretage kontrol på stedet og eksternt tilsyn, herunder stikprøvekontroller, uden retskendelse og mod behørig legitimation
• Foretage regelmæssige og målrettede sikkerhedsaudits eller kræve, at et kvalificeret uafhængigt organ foretager dem
• Foretage sikkerhedsscanninger
• Kræve oplysninger, data og dokumentation udleveret, herunder dokumentation for gennemførelsen af cybersikkerhedspolitikker

Ved anvendelsen af oplysningsbeføjelserne (§ 21, stk. 1, nr. 5-7) skal myndigheden angive formålet og præcisere, hvilke oplysninger der kræves, og i hvilken form (§ 21, stk. 2).

I praksis betyder den decentrale model, at din virksomhed skal identificere den kompetente myndighed for netop din sektor — det er den, du både registrerer dig hos, underretter ved hændelser og bliver ført tilsyn af.