Straffebestemmelsen i NIS2-loven er § 32. Den gør fem grupper af overtrædelser strafbare med bøde: manglende foranstaltninger, manglende registrering, manglende underretning om hændelser, manglende efterlevelse af myndighedens afgørelser og hindring af tilsyn. Efter § 32, stk. 2, kan et selskab straffes som juridisk person efter straffelovens 5. kapitel. Lovteksten nævner ingen beløb, og bødens størrelse fastsættes i den konkrete sag. Artiklen forklarer, hvad bestemmelsen omfatter, og hvordan ledelsen står bedst, hvis spørgsmålet en dag kommer op. Den er ikke juridisk rådgivning.
Det, der står i § 32
Lov nr. 434 af 6. maj 2025, § 32, stk. 1, straffer med bøde den, der:
- overtræder kravene til foranstaltninger i § 6, stk. 1 eller 2, reglerne om registrering i §§ 9 og 10, reglerne om domænedatabaser i § 11, stk. 1 til 6, eller pligterne til at underrette efter § 12, stk. 1, § 13, stk. 1 eller 2, og § 15,
- ikke efterkommer en afgørelse efter § 23, stk. 1, om suspension af en certificering eller forbud mod at udøve ledelsesfunktioner,
- ikke efterkommer påbud eller forbud efter de bestemmelser i § 22 og § 25, der handler om påbud,
- ikke efterkommer en afgørelse om at informere offentligheden efter § 16, stk. 2, eller visse afgørelser under tilsyn efter § 21 og § 24, fx krav om uafhængig audit eller udlevering af oplysninger og dokumentation,
- hindrer myndigheden i at føre tilsyn, herunder kontrol på stedet, audit og scanning.
Efter stk. 3 kan der også fastsættes bødestraf i de bekendtgørelser, der udstedes efter loven.
Fem grupper set fra ledelsen
For de fleste virksomheder er tre af grupperne de vigtige.
Foranstaltningerne · § 6 kræver passende og forholdsmæssige foranstaltninger, der som minimum dækker ti emner, og efter stk. 2 skal mangler rettes uden unødigt ophold. Det er ledelsesorganet, der efter § 7 godkender foranstaltningerne og følger op på dem.
Underretningen · § 12 og § 13 handler om væsentlige hændelser, som skal meldes inden for faste frister, og § 15 om at give modtagerne af jeres tjenester besked. En overset frist kan i sig selv være en overtrædelse. Fristerne er samlet under frister i sikkerhedsarbejdet.
Myndighedens afgørelser · har myndigheden givet et påbud eller krævet dokumentation, er det strafbart at lade være med at følge det. Hvordan påbud og instrukser er bygget op, står i advarsel, påbud eller bindende instruks.
Registrering og domænedatabaser er mere afgrænsede pligter. Registreringen er ofte klaret tidligt, men ændringer i oplysningerne skal også meldes.
Når selskabet straffes
Strafansvar for juridiske personer betyder, at bøden kan rettes mod selskabet. For ledelsen er det relevant på to måder. En bøde er en økonomisk følge for selskabet, som bestyrelsen skal forholde sig til. Og sagen vil som regel bygge på, hvad virksomheden har gjort og kan dokumentere, hvilket bringer ledelsens beslutninger frem i lyset.
Det personlige forbud mod at udøve ledelsesfunktioner er en administrativ afgørelse efter § 23, som ligger uden for bødereglerne. Det er beskrevet i personligt ansvar efter NIS2. Det almindelige erstatningsansvar efter selskabsloven er en tredje vej og er gennemgået i NIS2 og selskabsloven.
Hvorfor der ikke står beløb her
Lovteksten fastsætter ikke bødens størrelse. Beløb, der nævnes i omtaler af NIS2, kan derfor ikke læses ud af den danske lov, og bødens størrelse afgøres i den enkelte sag. For ledelsen er det mere nyttigt at kende de handlinger, der er strafbare, og at kunne vise, at virksomheden har gjort det, der kræves.
Det, ledelsen kan dokumentere
En virksomhed, der kan vise sammenhæng mellem risiko, beslutning og handling, står bedre i enhver sag. I praksis drejer det sig om:
- en dateret risikovurdering og de foranstaltninger, der bygger på den,
- referater, hvor ledelsesorganet godkender foranstaltningerne og følger op,
- en log over hændelser med vurderingen af, om de var væsentlige, og tidspunkterne for eventuelle underretninger,
- en liste over mangler med ejer og frist, som viser, at de rettes,
- kopi af alt, der er sendt til myndigheden, og svar på dens afgørelser.
Hændelsesloggen er særlig vigtig. Også en beslutning om ikke at underrette bør kunne begrundes bagefter. Hvem der træffer den beslutning, er beskrevet i er hændelsen væsentlig?.
Tænk på en vigtig enhed i transport med 80 ansatte, der bliver ramt af et angreb fredag aften. Den, der har vagten, vurderer hændelsen ud fra beredskabsplanens kriterier, skriver tidspunkt og begrundelse i loggen og ringer til direktøren, som beslutter at underrette. Når myndigheden senere spørger, kan virksomheden vise forløbet time for time.
Det skal I lade være med
- At bruge bødebeløb fra omtaler som beslutningsgrundlag · tag udgangspunkt i lovteksten og jeres egen dokumentation.
- At se på bøden alene · påbud, offentliggørelse og tab af tillid kan veje tungere.
- At undlade at logge beslutningen om ikke at underrette · den skal kunne forklares senere.
- At lade et påbud ligge, mens I er uenige · følg det, og tag uenigheden op ad de rette veje.
- At glemme ændringer i registreringen · nye oplysninger skal meldes til myndigheden.
Det skal I kræve af den eksterne
- ☐ En kort gennemgang for ledelsen af, hvilke punkter i § 32 der er relevante for jer.
- ☐ En hændelseslog med felter for vurdering, beslutning, tidspunkt og den, der besluttede.
- ☐ En liste over myndighedens eventuelle afgørelser med frist og status.
- ☐ En kontrol af, at registreringen er opdateret.
- ☐ Klar besked, når et spørgsmål bør forelægges en advokat.
Hvad I gør nu
Læs § 32 sammen med § 6 og §§ 12 til 15, og notér, hvem der ejer hver pligt hos jer. Kontrollér, at hændelsesloggen findes og bruges. Resten af ledelsens pligter finder I på siden om NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6 om foranstaltninger, §§ 9 og 10 om registrering, §§ 12, 13 og 15 om underretning, §§ 21 til 25 om tilsyn og håndhævelse, § 32 om straf.
- Selskabsloven, LBK nr. 331 af 20. marts 2025 (retsinformation.dk): ledelsens erstatningsansvar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Personligt ansvar efter NIS2 · Korrigerende foranstaltninger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
