Vi har ikke fundet en dansk lov, der kræver et dokument ved navn beredskabsplan for IT af alle virksomheder. Kravene afhænger af, hvem I er. NIS2-loven kræver procedurer for hændelser og driftskontinuitet, og de samles typisk i en plan. Kritiske enheder, energivirksomheder og finansielle virksomheder har egne krav. Behandler I personoplysninger, skal I kunne genskabe adgangen til dem. Dertil kommer aftaler med kunder og forsikring. I praksis handler spørgsmålet derfor om, hvor meget planen skal rumme, og hvem der skal godkende den. Artiklen er ikke juridisk rådgivning.
Ordet beredskabsplan bruges også om brand, evakuering, skoler og plejehjem. Der gælder andre regler, som artiklen ikke behandler. Her handler det om IT og cyberhændelser.
NIS2-loven: procedurerne i loven, planen i vejledningen
Lovteksten bruger ikke ordet beredskabsplan. § 6, stk. 1, nævner håndtering af hændelser (nr. 2) og driftskontinuitet, herunder backupstyring, reetablering efter en katastrofe og krisestyring (nr. 3). Ledelsesorganet skal godkende foranstaltningerne efter § 7. SAMSIKs vejledning til implementering gengiver lovbemærkningerne og uddyber, og her bliver tre niveauer synlige:
- Hændelser. Enheden skal have procedurer, eksempelvis i beredskabsplaner, til at finde, analysere og reagere på hændelser, genoprette driften og håndtere underretningen.
- Driftskontinuitet. Enheden skal have procedurer, der sikrer driften under en hændelse, eksempelvis en plan for fortsat drift og en plan for genopretning.
- Krisestyring. Enheden skal vurdere behovet for en beredskabsplan med procedurer for krisestyring. Viser vurderingen et behov, bør procedurerne etableres og dokumenteres.
En omfattet virksomhed kan altså i princippet kalde dokumentet noget andet, men procedurerne skal findes. For krisestyring er kravet en vurdering, og den bør ledelsen kunne vise frem. Vejledningen er ikke lovtekst, og det er den sektoransvarlige myndighed, der vurderer, om I lever op til loven. Vi kender ingen god grund til at undvære planen, hvis I er omfattet. Om I er det, kan I afklare med Er vi omfattet af NIS2?. Hvad § 6 betyder for de valg, ledelsen skal træffe før en krise, står i driftskontinuitet og krisestyring.
Særregler, hvor ordet er tydeligere
- Kritiske enheder. Efter § 6, stk. 2, i CER-loven skal de have og anvende en plan for modstandsdygtighed, der beskriver foranstaltningerne. Se Udpeget som kritisk enhed.
- Energi. Efter § 6 i lov nr. 258 af 6. marts 2025 skal virksomhederne foretage nødvendig beredskabsplanlægning. Det nærmere indhold står i bekendtgørelsen om modstandsdygtighed og beredskab i energisektoren, som vi ikke har gennemgået.
- Tele. § 5 i lov om sikkerhed og beredskab i telesektoren har samme ordlyd som NIS2-loven om driftskontinuitet.
- Finans. DORA kræver en politik for IKT-driftsstabilitet og planer for indsats og genopretning, se det, DORA kræver af beredskabet.
- Vand og spildevand. Lovforslag L 70 vil give ministeren hjemmel til regler om beredskabsplanlægning, også for mindre forsyninger. Det er et forslag, se krav på vej til de mindre forsyninger.
Persondata: gælder de fleste virksomheder
Også uden for NIS2 kan der være krav. Databeskyttelsesforordningens artikel 32 nævner evnen til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger efter en fysisk eller teknisk hændelse. Datatilsynet skriver i sin vejledning om behandlingssikkerhed, at organisationen dermed skal have et beredskab for genopretningen og have planlagt, hvordan driften kan genoprettes inden for et bestemt tidsrum. Foranstaltningen skal passe til risikoen, så omfanget afhænger af de oplysninger, I behandler.
Forordningen kræver ingen plan med en bestemt titel. Har I løn, kundedata eller patientoplysninger i jeres systemer, bør I dog kunne vise, hvordan adgangen kommer tilbage, og at det er afprøvet. Hvad ledelsen skal vide om det, står i backup og reetablering.
Selskabsloven: en tolkning
Efter selskabslovens § 115 skal bestyrelsen sikre en forsvarlig organisation. Den skal også påse, at procedurer for risikostyring og interne kontroller er på plads. Ordet IT står ikke i bestemmelsen. Vi læser det sådan, at en virksomhed, der står stille uden sine systemer, vanskeligt kan kalde sig forsvarligt organiseret uden en plan for nedbrud. Hvad det betyder hos jer, er et spørgsmål til advokat eller revisor. Sammenhængen er uddybet i NIS2 og selskabslovens krav til ledelsen.
Krav, der kommer fra aftaler
Selv når ingen lov kræver planen, kan andre gøre det. Se efter i tre bunker papirer:
- Kundekontrakter. Nogle indeholder krav om beredskab eller besked inden for en frist, se sikkerhedskrav i kundekontrakten.
- Forsikringen. Selskabet spørger ofte til planen, og svaret skal holde ved en skade, se spørgsmålene fra forsikringen.
- Driftsaftalen. Den afgør, hvad IT-leverandøren gør, når alt står stille, og hvad I selv skal have klar.
Sådan afgør ledelsen spørgsmålet
Besvar fire spørgsmål på næste møde:
- Er vi omfattet af NIS2, CER, DORA eller en særlov? Hvis ja, hvilken paragraf gælder?
- Hvilke personoplysninger skal vi kunne genskabe, og hvor hurtigt?
- Hvad har vi lovet kunder og forsikring?
- Hvor længe kan forretningen klare sig uden IT, før skaden bliver alvorlig?
Skriv kravene ind i kravregistret, og lad svarene bestemme omfanget. Den store virksomhed med krav i loven har brug for en fuld plan, som ledelsesorganet godkender. Den lille uden lovkrav kan klare sig med en nødplan, hvor sikkerdigital.dk har en skabelon til mindre virksomheder. Se tjeklister og skabeloner.
Uanset størrelse bør planen fortælle, hvem der har beslutningen, hvilke numre der skal ringes til, og hvilken funktion der kommer op som den første. Skrivningen af den del er gennemgået i ledelsens del af planen. En plan viser først sit værd, når den er prøvet, se beredskabsøvelse for ledelsen.
Det skal I lade være med
- At slutte fra “ikke omfattet af NIS2” til “ingen krav” · persondata og aftaler gælder stadig.
- At gå efter et dokument med det rigtige navn · det afgørende er, om procedurerne findes og virker.
- At lade vurderingen af krisestyring forblive mundtlig · den bør kunne vises frem.
Det skal I kræve af den eksterne
- ☐ En oversigt over de krav til beredskab, der gælder jer, med paragraf eller kontraktpunkt.
- ☐ Klar adskillelse af lovkrav, vejledning og egne anbefalinger.
- ☐ Et forslag til planens omfang, der passer til jeres størrelse.
- ☐ En dokumenteret vurdering af behovet for krisestyring.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 2 og 3, og § 7.
- SAMSIK: Vejledning om implementering af foranstaltningerne: afsnittene om håndtering af hændelser, driftskontinuitet og krisestyring.
- CER-loven, lov nr. 433 af 6. maj 2025: § 6, stk. 2.
- Lov om styrket beredskab i energisektoren, lov nr. 258 af 6. marts 2025: § 6.
- Lov om sikkerhed og beredskab i telesektoren, lov nr. 435 af 6. maj 2025: § 5.
- Lovforslag L 70, folketingsåret 2026-27: de foreslåede regler om beredskabsplanlægning.
- Forordning (EU) 2022/2554, DORA: art. 11 om indsats og genopretning.
- Datatilsynet: Behandlingssikkerhed og databeskyttelse gennem design og standardindstillinger: afsnit 3.3.3 om artikel 32.
- Selskabsloven, lovbekendtgørelse nr. 331 af 20. marts 2025: § 115.
- sikkerdigital.dk: Test og værktøjer: nødplan for mindre virksomheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er NIS2? Forklaret for direktionen · Frister i sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
