Alle offentlige og private virksomheder må melde hændelser, nærvedhændelser og cybertrusler til CSIRT, også selv om de ikke er omfattet af NIS2-loven. Det står i lovens § 14, stk. 1. CSIRT behandler de frivillige meldinger på samme måde som de obligatoriske, dog kan de obligatoriske komme først, og de frivillige er undtaget fra aktindsigt. For en underleverandør uden egne pligter efter loven kan en frivillig melding give adgang til CSIRTs vurdering og bidrage til det fælles billede af truslerne. Beslutningen om at melde bør stå i virksomhedens procedure, så den ikke afhænger af, hvem der har vagten. Teksten er ikke juridisk rådgivning.
Hvad loven siger
§ 14 har tre stykker:
- Offentlige og private enheder kan, selv om de ikke er omfattet af loven, underrette CSIRT om hændelser, nærvedhændelser og cybertrusler.
- CSIRT behandler disse underretninger på samme måde som dem efter § 13, men kan prioritere de obligatoriske.
- De frivillige underretninger er undtaget fra aktindsigt efter offentlighedsloven og partsaktindsigt efter forvaltningsloven.
SAMSIKs vejledning om hændelsesunderretning tilføjer, at også væsentlige og vigtige enheder kan melde hændelser frivilligt, når de ikke er væsentlige, og at meldingen sker gennem en formular på virk.dk. Vejledningen opfordrer til at melde hurtigst muligt, så CSIRT har de bedste forudsætninger for at analysere og rådgive.
Tre slags meldinger
Loven bruger tre begreber, og de dækker hver sin situation.
Hændelse er efter § 3, nr. 12, en begivenhed, der bringer tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller tjenester i fare.
Nærvedhændelse er efter § 3, nr. 22, en begivenhed, der kunne have bragt det samme i fare, men som det lykkedes at forhindre, eller som ikke indtraf. Et eksempel er en falsk fakturamail, som bogholderen opdagede, før betalingen gik ud.
Cybertrussel er efter § 3, nr. 4, enhver mulig omstændighed, begivenhed eller handling, der kan skade eller forstyrre net- og informationssystemer, brugerne af dem og andre personer. Et eksempel er en målrettet kampagne mod virksomhedens branche, som en medarbejder har set tegn på.
Nærvedhændelserne er de interessante for ledelsen, fordi de ellers sjældent forlader huset. De viser, hvad angriberne forsøger, og hvor forsvaret holdt. Hvordan medarbejderne bringer dem frem, er emnet for når medarbejdere melder hændelser.
Hvorfor en underleverandør kan have glæde af det
Tag maskinfabrikken med 35 ansatte, der leverer reservedele og fjernservice til flere forsyningsselskaber. Fabrikken er ikke selv omfattet af NIS2, men kunderne er. En dag opdager fabrikkens driftsleverandør gentagne forsøg på at logge ind på den konto, fabrikken bruger til fjernservice hos kunderne. Ingen af forsøgene lykkedes.
En frivillig melding til CSIRT giver fabrikken tre ting. CSIRT kan se, om forsøgene ligner noget, andre har meldt, og fabrikken kan få et grundlag for sin egen vurdering. Kunderne, der selv skal vurdere, om de er ramt, kan få at vide, at fabrikken har meldt og fulgt op, og det styrker tilliden i forholdet. Og fabrikken kan vise, at den tager sin rolle i kundernes forsyningskæde alvorligt, når kunderne spørger til sikkerhedsarbejdet, se når kunderne stiller sikkerhedskrav.
Den sidste fordel står ingen steder i loven, men følger af, at kunderne skal styre deres leverandørrisiko, se forsyningskæden i NIS2.
Hvad undtagelsen fra aktindsigt betyder
Lovbemærkningerne, som SAMSIK gengiver, forklarer undtagelsen med, at oplysninger om et vellykket angreb kan skade en virksomheds omdømme og derfor kan afholde virksomheder fra at melde. Undtagelsen kan omfatte sagen som helhed. Den gælder dog ikke virksomhedens egen adgang til oplysninger om sine egne forhold.
Obligatoriske underretninger er derimod ikke undtaget fra aktindsigt, men myndigheden kan efter en konkret vurdering undtage enkelte oplysninger. For en NIS2-omfattet virksomhed betyder det, at en væsentlig hændelse skal meldes efter § 12 og § 13 uanset ønsket om fortrolighed. Den frivillige vej er for alt det, der ligger under tærsklen. Hvor grænsen går, står i artiklen om væsentlige hændelser og beslutningen.
Datatilsynet nævner i sin vejledning om brud, at private dataansvarlige også frivilligt kan anmelde brud på persondatasikkerheden til Styrelsen for Samfundssikkerhed. Det erstatter ikke en anmeldelse til Datatilsynet, når den er påkrævet.
Hvem beslutter at melde
En frivillig melding er en beslutning om at dele oplysninger om virksomheden med en myndighed. Den bør derfor have en ejer. En enkel regel i proceduren kan se sådan ud:
- CISO eller den, der leder sikkerhedsarbejdet, foreslår en melding, når en nærvedhændelse eller trussel kan have betydning ud over virksomheden.
- En navngiven direktør godkender. Ved hændelser uden persondata og uden kundenavne kan godkendelsen delegeres til CISO.
- Meldingen noteres i hændelsesloggen med dato og indhold.
- Berører sagen en kunde, aftales det på forhånd, om kunden skal orienteres om meldingen.
Ifølge vejledningens bilag 2 foregår både obligatoriske og frivillige meldinger på virk.dk. Blanketten spørger blandt andet om virksomhedens oplysninger, sektoren og hvad hændelsen vedrører, så en melding tager kort tid, når loggen er ført.
Reglen kan stå sammen med hændelseshåndteringen, så små sager og store sager går gennem samme proces.
Det skal I lade være med
- At tro, at frivillig melding kun er for omfattede virksomheder · § 14 gælder alle.
- At bruge den frivillige vej til en væsentlig hændelse · den skal meldes efter § 12.
- At melde med kundenavne uden aftale · kunden bør vide, hvad der deles.
- At lade nærvedhændelser forsvinde i en mailboks · de er det bedste grundlag for læring.
- At glemme, at obligatoriske meldinger kan blive søgt aktindsigt i · formulér dem sagligt.
Det skal I kræve af den eksterne
- ☐ En regel i proceduren for, hvornår der meldes frivilligt, og hvem der godkender.
- ☐ Hjælp til at skrive meldingen kort og uden unødige oplysninger om kunder.
- ☐ Opfølgning på svar eller vejledning fra CSIRT i den faste rapport til ledelsen.
- ☐ Et årligt overblik over nærvedhændelser og meldinger.
Den eksterne bør ikke have en egen fordel af, hvilke værktøjer I bruger til at opdage hændelser. Bed om oplysning om aftaler med leverandører af den slags værktøjer og om provision for anbefalinger.
Hvad gør I nu? Se på de sidste tre måneders nærvedhændelser og spørg, om en af dem burde have været meldt.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 3, nr. 4, 12 og 22, om cybertrussel, hændelse og nærvedhændelse, og § 14, stk. 1 til 3, om frivillige underretninger.
- Styrelsen for Samfundssikkerhed om obligatorisk og frivillig underretning: kapitel 4 om aktindsigt i obligatoriske meldinger, kapitel 7 om frivillig underretning og lovbemærkningerne til § 14.
- Datatilsynet om håndtering af brud: afsnit 6.2 om frivillig anmeldelse til Styrelsen for Samfundssikkerhed.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad national CSIRT kan hjælpe med · Er hændelsen væsentlig? Hvem beslutter underretning
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
