Frister i sikkerhedsarbejdet: NIS2, persondata og CER
Siden samler de frister, ledelsen skal kende i sikkerhedsarbejdet, som de står i NIS2-loven (lov nr. 434 af 6. maj 2025), i CER-loven (lov nr. 433 af 6. maj 2025) og i Datatilsynets vejledning om brud på persondatasikkerheden. Fristerne er gengivet med paragraf, så I kan slå dem op. Hvilke regler der gælder for jer, afhænger af, om I er omfattet, og det afgør siden ikke. Teksten er et opslag og ikke juridisk rådgivning; lovteksten er grundlaget.
Registrering efter NIS2-loven
- Væsentlige og vigtige enheder, § 10, stk. 2 · registrering hos den relevante kompetente myndighed senest 2 uger efter, at enheden er blevet omfattet af loven. Registreringen omfatter navn, adresse og kontaktoplysninger, sektor og delsektor og de øvrige EU-lande, hvor I leverer tjenester.
- Ændringer, § 10, stk. 3 · ændres oplysningerne, skal myndigheden have besked senest 2 uger efter datoen for ændringen. Nye kontaktpersoner og ny adresse er typiske eksempler.
- Digitale udbydere, § 9, stk. 2 og 3 · udbydere af blandt andet cloudcomputing, datacentertjenester, administrerede tjenester og administrerede sikkerhedstjenester registrerer sig senest 3 måneder efter, at de er omfattet, og melder ændringer senest 3 måneder efter ændringen.
- Første frist, § 33, stk. 3 · for enheder, der var omfattet, da loven trådte i kraft den 1. juli 2025, skulle oplysningerne være indgivet senest den 1. oktober 2025.
Vokser I ind under størrelsesgrænserne i §§ 4 og 5, begynder fristen at løbe fra det tidspunkt. Se I vokser mod NIS2-størrelsesgrænsen og Registreret efter NIS2: hvad skal ledelsen gøre nu?.
Væsentlige hændelser efter NIS2-loven
Underretningen efter § 12 går til den relevante kompetente myndighed og CSIRT. § 13, stk. 1, deler den i trin, og uret starter, når enheden har fået kendskab til den væsentlige hændelse.
- Tidlig varsling, nr. 1 · så hurtigt som muligt og inden for 24 timer fra kendskab. Her oplyser I, om I har mistanke om et angreb eller en anden ulovlig handling, og om hændelsen kan række ud over landets grænser.
- Hændelsesunderretning, nr. 2 · så hurtigt som muligt og inden for 72 timer fra kendskab. Den opdaterer varslingen og giver et første bud på alvor og følger samt de kompromitteringsindikatorer, I har fundet.
- Foreløbig rapport, nr. 3 · når CSIRT beder om det.
- Endelig rapport, nr. 4 · senest 1 måned efter, at hændelsesunderretningen er sendt.
- Hændelsen er ikke slut, nr. 5 · står hændelsen stadig på ved månedsfristen, sender I en statusrapport dér og den endelige rapport en måned efter, at hændelsen er bragt under kontrol.
- Tillidstjenesteudbydere, § 13, stk. 2 · hændelsesunderretningen skal sendes senest 24 timer efter kendskab.
- CSIRT’s svar, § 13, stk. 3 · CSIRT svarer inden for 24 timer efter den tidlige varsling.
- Modtagerne af jeres tjenester, § 15 · kunder og andre, der modtager jeres tjenester, skal hurtigst muligt have besked, når en væsentlig hændelse forventes at ramme leverancen til dem. Loven sætter intet timetal på.
Hvornår en hændelse er væsentlig, står i § 12, stk. 2. Se Er hændelsen væsentlig? og Fra tidlig varsling til endelig rapport.
Når et krav ikke er opfyldt
- Korrigerende foranstaltninger, § 6, stk. 2 · mangler I at opfylde et af minimumskravene i § 6, stk. 1, skal rettelsen sættes i gang straks. Heller ikke her nævner loven et antal dage. Se Når et krav ikke er opfyldt.
Brud på persondatasikkerheden
Datatilsynets vejledning “Håndtering af brud på persondatasikkerheden” (maj 2025) bygger på databeskyttelsesforordningens artikel 33 og 34.
- Anmeldelse til Datatilsynet · så hurtigt det kan lade sig gøre og om muligt inden for 72 timer fra det øjeblik, I som dataansvarlig kender til bruddet. Er en risiko for de berørte personer usandsynlig, skal bruddet ikke anmeldes, men det skal stadig dokumenteres internt.
- Weekender og ferie · de 72 timer gælder også uden for kontortid, i weekender og på helligdage, og fravær af den, der plejer at anmelde, er ifølge vejledningen generelt ingen undskyldning.
- Ufuldstændige oplysninger · I anmelder det, I ved, inden for fristen, og supplerer trinvist.
- For sent · en anmeldelse efter 72 timer skal ledsages af en begrundelse for forsinkelsen.
- De registrerede · skal underrettes uden unødig forsinkelse, når bruddet sandsynligvis indebærer en høj risiko for dem. Der er ingen fast timefrist.
- Leverandører, der behandler data for jer · skal underrette jer uden unødig forsinkelse, når de opdager et brud.
En hændelse kan udløse både en NIS2-underretning og en anmeldelse til Datatilsynet. Se Én hændelse, to underretninger og Når de berørte personer selv skal underrettes.
CER-loven for kritiske enheder
CER-loven gælder enheder, som den ansvarlige minister har udpeget som kritiske. Det, der hører under NIS2-loven, er holdt ude af CER-loven efter § 1, stk. 2.
- Orientering, § 3, stk. 5 · inden for en måned efter udpegningen får enheden besked om sine pligter. Ti måneder efter den besked begynder kravene i §§ 6 til 9 at gælde: foranstaltninger, kontaktperson, underretning og baggrundskontrol.
- Risikovurdering, § 5, stk. 3 · den første vurdering skal ligge klar ni måneder efter beskeden. Derefter fornyes den efter behov og senest hvert fjerde år.
- Underretning om hændelser, § 8, stk. 4 · myndigheden skal have besked hurtigst muligt og inden for et døgn, efter at I er blevet opmærksomme på hændelsen, medmindre det i praksis ikke kan lade sig gøre. Beder myndigheden om en uddybende rapport, skal den foreligge senest en måned efter hændelsen.
Hvem holder øje med uret?
Fristerne løber fra kendskab, uanset hvor travlt ledelsen har. Beredskabsplanen bør derfor pege på én person, der starter uret og noterer klokkeslættet, én der afgør, om hændelsen er væsentlig eller et persondatabrud, og én der sender underretningerne. Det kan være samme person i en mindre virksomhed, men der skal være en stedfortræder. Registreringsfristerne hører hjemme i årshjulet, så ændringer i kontaktoplysninger og ejerforhold bliver meldt. En ekstern CISO kan holde listen ajour og øve forløbet med ledelsen. Se Beredskabsplan: ledelsens del af planen og Årshjul for sikkerhedsarbejdet.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: §§ 6, 9, 10, 12, 13, 15 og 33.
- CER-loven, lov nr. 433 af 6. maj 2025: §§ 1, 3, 5 og 8. Ændringen ved lov nr. 135 af 27. januar 2026 nyaffatter bilag 1 og berører ikke fristerne.
- Datatilsynet: Håndtering af brud på persondatasikkerheden: vejledning fra maj 2025, afsnit 3 og 4.
- Forordning (EU) 2016/679 på EUR-Lex: artikel 33 og 34.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad national CSIRT kan hjælpe med · Ordliste om sikkerhedsledelse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
Mangler I en CISO?
Fortæl kort, hvad der har sat sikkerhedsarbejdet på dagsordenen: NIS2, DORA, en kunde, forsikringen eller bestyrelsen. Rådgivningen er uvildig og uden forhandleraftaler, så den tager udgangspunkt i jeres risiko.
