Efter en væsentlig hændelse skal en NIS2-omfattet virksomhed sende op til fem meldinger, og forløbet kan vare en måned eller mere. NIS2-lovens § 13, stk. 1, lægger rækkefølgen fast. Først kommer et varsel inden for et døgn, så en opdateret melding inden tre døgn, eventuelt en mellemrapport på CSIRTs opfordring og til sidst en afsluttende rapport, som har en måneds frist regnet fra den anden melding. Pågår hændelsen stadig, kommer en statusrapport og senere den endelige rapport. Hver melding binder virksomheden til en beskrivelse af, hvad der er sket, og derfor bør ledelsen vide, hvad den godkender undervejs. Teksten gengiver lov og vejledning og er ikke juridisk rådgivning.
Forløbet i overblik
- Tidlig varsling · hurtigst muligt og højst 24 timer fra kendskabet (§ 13, stk. 1, nr. 1).
- Hændelsesunderretning · hurtigst muligt og højst 72 timer fra kendskabet (nr. 2).
- Foreløbig rapport · når CSIRT anmoder om det (nr. 3).
- Endelig rapport · senest 1 måned efter hændelsesunderretningen (nr. 4).
- Statusrapport ved fortsat hændelse · pågår hændelsen, når den endelige rapport skal sendes, kommer en statusrapport, og den endelige rapport følger senest 1 måned efter, at hændelsen er håndteret (nr. 5).
Tillidstjenesteudbydere har en kortere frist. Efter § 13, stk. 2, skal deres hændelsesunderretning også ske inden 24 timer. Alle meldinger går gennem den fælles indgang på virk.dk, som sender dem videre til både den kompetente myndighed og CSIRT. Spørgsmålet om, hvorvidt hændelsen overhovedet er væsentlig, og hvem der beslutter det, er behandlet i hvem i ledelsen beslutter underretning.
Den tidlige varsling
To oplysninger kræver loven i varslingen, nemlig en eventuel mistanke om ulovlig eller ondsindet handling og en mulig virkning i andre lande. SAMSIKs vejledning om hændelsesunderretning beskriver i bilag 2, hvad blanketten spørger om: et forløb, hændelsens type og årsag, om den er tilbagevendende, tidslinjen, omfanget, andre involverede som leverandører, og om virksomheden ønsker teknisk bistand fra CSIRT.
Ledelsen godkender her to ting. Den godkender, at varslingen sendes, og den godkender, hvad der skrives om mistanken om en ondsindet handling. Det sidste kan få betydning for politiets rolle og for forsikringen, så formuleringen bør holde sig til det, der vides. Det er bedre at skrive, at årsagen endnu er ukendt, end at gætte.
Hændelsesunderretningen inden 72 timer
Hændelsesunderretningen opdaterer varslingen og giver en indledende vurdering af alvor og indvirkning. Hvor der findes kompromitteringsindikatorer, altså tekniske spor som adresser eller filnavne, der viser et angreb, skal de med. Ifølge vejledningen skal den også beskrive omfanget, en eventuel udnyttet sårbarhed, påvirkning af andre sektorer og de foranstaltninger, der er truffet.
Ledelsen bør her godkende vurderingen af alvor og konsekvens for forretningen. Teknikerne leverer de tekniske oplysninger, men vurderingen af økonomisk tab og påvirkning af kunder er ledelsens. Står tallene ikke klart, skrives det som et skøn med forbehold.
Efter § 13, stk. 3, skal CSIRT svare inden 24 timer efter den tidlige varsling, blandt andet med en første tilbagemelding. På virksomhedens anmodning kommer der desuden vejledning, operativ rådgivning og teknisk bistand til at begrænse skaden. Hvad CSIRT kan hjælpe med i øvrigt, er emnet for hvad national CSIRT kan hjælpe med.
Foreløbig rapport og statusrapport
CSIRT kan bede om en foreløbig rapport med statusopdateringer. Vejledningen nævner, at CSIRT bruger de kontaktoplysninger, der blev angivet ved hændelsesunderretningen. Kontaktpersonen skal derfor kunne nås i hele forløbet og kende sagen.
Vejledningen beskriver også det modsatte tilfælde. Er hændelsen afsluttet hurtigt, fx efter 17 timer, og falder meldingerne sammen, kan virksomheden nøjes med at sende den endelige rapport.
Den endelige rapport
Loven kræver fire elementer i den endelige rapport: en detaljeret beskrivelse af hændelsen med alvor og indvirkning, den sandsynlige trussel eller grundlæggende årsag, de anvendte og igangværende afbødende foranstaltninger og eventuelle virkninger over landegrænser. Vejledningens bilag 2 tilføjer blandt andet berørte tjenester, omdømmemæssige konsekvenser, foranstaltninger før, under og efter hændelsen, og hvad virksomheden har lært.
Rapporten er ledelsens dokument. Den beskriver, hvad virksomheden vil gøre for at undgå en gentagelse, og myndigheden kan senere spørge, om det blev gjort. Ledelsen bør derfor kun godkende tiltag, den har tænkt sig at finansiere og følge op på. Selve evalueringen, der leverer læringen, er beskrevet i evaluering efter en hændelse.
Vejledningen oplyser desuden, at de obligatoriske underretninger ikke er undtaget fra aktindsigt efter offentlighedsloven, men at myndigheden konkret kan undtage oplysninger. Det taler for en saglig tone uden unødige detaljer om svagheder, der stadig er åbne.
Et tænkt forløb
Grossisten med 60 ansatte rammes en tirsdag af ransomware, der stopper lagersystemet. Direktøren godkender den tidlige varsling samme eftermiddag med teksten, at et ondsindet angreb formodes, og at omfanget undersøges. Torsdag godkender ledelsen hændelsesunderretningen med et skøn over nedetid og berørte kunder. CSIRT beder ugen efter om en foreløbig rapport, som CISO skriver ud fra hændelsesloggen. Fire uger efter hændelsesunderretningen godkender direktionen den endelige rapport sammen med tre tiltag, der er sat i budgettet. Kunderne fik besked tidligere i forløbet, se når kunderne skal have besked.
Det skal I lade være med
- At lade fristen for den endelige rapport overraske jer · sæt datoen i kalenderen, når hændelsesunderretningen er sendt.
- At skrive gæt om årsagen som fakta · rettelser i senere meldinger svækker troværdigheden.
- At udpege en kontaktperson, der går på ferie · CSIRT kontakter den, der står i blanketten.
- At love tiltag i rapporten uden budget · de kan blive fulgt op af myndigheden.
- At glemme at bede om bistand · varslingen har et felt til netop det.
Det skal I kræve af den eksterne
- ☐ Skabeloner til hver af de fem meldinger med felterne fra SAMSIKs bilag 2.
- ☐ En kalender over fristerne, der starter fra det dokumenterede tidspunkt for kendskabet.
- ☐ Udkast til hver melding, så ledelsen godkender og ikke skriver.
- ☐ En hændelseslog, der kan bære den endelige rapport.
- ☐ Opfølgning på de tiltag, rapporten lover, i den faste rapportering til ledelsen.
Hvad gør I nu? Læs bilag 2 i SAMSIKs vejledning sammen med den, der skal skrive meldingerne, og aftal, hvem der godkender hver af dem.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 13, stk. 1, nr. 1 til 5, om meldingernes indhold og frister, stk. 2 om tillidstjenesteudbydere og stk. 3 om CSIRTs svar og bistand.
- SAMSIK, Hændelsesunderretning (NIS2-vejledning, 1. udgave juni 2025): kapitel 3 om virk.dk, kapitel 4 om forløbet og aktindsigt, bilag 2 om indholdet af hver melding.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Evaluering efter en hændelse · Frister i sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
