Delvist. De to vurderinger kan bygge på det samme grundlag: den samme liste over systemer og data, de samme trusler og de samme sikkerhedsforanstaltninger. Men de stiller to forskellige spørgsmål om konsekvensen. Efter databeskyttelsesforordningens artikel 32 er det risikoen for de personer, oplysningerne handler om, der skal vurderes, og Datatilsynet understreger, at det ikke handler om risikoen for virksomhedens omsætning. Efter NIS2-loven handler det om risikoen for sikkerheden i net- og informationssystemerne og om at forhindre eller begrænse hændelsers virkning for dem, der modtager jeres tjenester. Et fælles fundament med to konsekvenskolonner er derfor den løsning, der som regel holder.
To regelsæt med hver sin berørte part
Datatilsynet beskriver risiko som muligheden for et negativt udfald, hvor størrelsen afhænger af sandsynlighed og konsekvens. Tilsynet skriver også, at forordningen ikke stiller konkrete krav til metoden. Risikovurderingen efter artikel 5 og 32 angår alle planlagte og eksisterende behandlinger og dermed alle registrerede og alle personoplysninger. Formålet er at vise, om der er etableret tilstrækkelige foranstaltninger mod de risici, behandlingen indebærer for de berørte personer.
NIS2-lovens § 6, stk. 1, kræver passende og forholdsmæssige foranstaltninger for at styre risiciene for sikkerheden i de net- og informationssystemer, enheden bruger, og for at forhindre hændelser eller minimere deres indvirkning på modtagerne af tjenesterne og på andre tjenester. Efter nr. 1 skal der være politikker for risikoanalyse.
Den berørte part er altså forskellig. Hos Datatilsynet er det den person, hvis oplysninger lækkes. I NIS2 er det jeres virksomhed, jeres kunder og de tjenester, der afhænger af jer.
Det, de to vurderinger kan dele
Meget af arbejdet er det samme, og det er spild at gøre det to gange.
- Overblikket over systemer og data. Hvilke systemer findes, hvem ejer dem, og hvilke oplysninger ligger i dem. Se forvaltning af aktiver.
- Trusselsbilledet. De samme angreb rammer kundedatabasen og produktionsstyringen.
- Sårbarhederne. En manglende opdatering er en svaghed i begge vurderinger.
- Foranstaltningerne. Backup, adgangsstyring og MFA beskytter både personoplysningerne og tjenesten.
- Metoden. Skalaer for sandsynlighed og kriterier for, hvornår noget skal handles på, kan være fælles. Metoden er beskrevet i risikoanalysemetode.
Datatilsynet har et katalog over sikkerhedsforanstaltninger og en side om ti typiske brud, som kan bruges som generiske scenarier i vurderingen. Begge dele er nyttige, også når scenarierne skal bruges i NIS2-arbejdet.
Det, der skal holdes adskilt
Konsekvensen skal vurderes hver for sig. Et eksempel viser hvorfor.
Et HR-system med helbredsoplysninger om 60 medarbejdere betyder lidt for driften, hvis det er nede en uge. For de ansatte kan et læk derimod være alvorligt. Omvendt kan et ordresystem uden følsomme oplysninger stå for størstedelen af den risiko, NIS2-arbejdet skal styre, fordi kunderne venter på leverancerne.
Lægges de to konsekvenser sammen i ét tal, forsvinder begge perspektiver. HR-systemet får en lav samlet score, fordi driften ikke rammes, og risikoen for medarbejderne bliver usynlig. Derfor bør vurderingen have én kolonne for konsekvensen for de registrerede og én for konsekvensen for virksomheden og dens kunder. En risiko kan være høj i den ene og lav i den anden.
Også accepten skal holdes adskilt. Datatilsynet skriver, at kravene til sikkerheden skærpes, jo højere risikoen er for de berørte personer. En høj risiko i kolonnen for de registrerede bør derfor have sin egen begrundelse, før ledelsen lader den stå. Hvordan accept bliver en dokumenteret beslutning, står i hvem må acceptere en risiko.
Et eksempel fra en underleverandør
Tag en NIS2-underleverandør med 60 ansatte, der driver en kundeportal. Portalen indeholder kontaktoplysninger på kundernes medarbejdere og ordredata.
Den fælles del af vurderingen beskriver portalen, dens leverandør, adgangene og truslerne. Scenariet “uvedkommende får adgang til portalen” vurderes derefter to gange. For de registrerede er konsekvensen, at kontaktoplysninger kan misbruges til phishing. For virksomheden og kunderne er konsekvensen, at ordrer kan ændres, og at kunderne mister tilliden. Foranstaltningen, fx MFA på alle logins, dæmper begge og skal kun beskrives ét sted i registret. Restrisikoen kan dog ende forskelligt, og den skal beskrives for hver.
Hvem ejer hvilken del
Den eksterne CISO kan holde det fælles fundament og NIS2-delen. Vurderingen af konsekvensen for de registrerede bør inddrage den, der har ansvaret for databeskyttelsen, og har virksomheden en DPO, skal vedkommende ifølge Datatilsynet tage hensyn til risiciene ved behandlingerne i sit arbejde. Rollen er forklaret på ekstern-it-ledelse.dk under hvad er en DPO.
Ansvarsfordelingen bør stå i jeres ansvarsmatrix, så det er tydeligt, hvem der opdaterer hvilken kolonne, når et system ændres. Matricen for sikkerhedsopgaverne er beskrevet i sikkerhedsorganisation.
Det hjælper også at opdatere de to dele på samme tid. Når den årlige risikovurdering gennemgås, ses begge kolonner igennem på samme møde, og ændringer i systemer eller leverandører i løbet af året fører til en opdatering af begge. Så undgår I, at personperspektivet halter et år efter, fordi det ligger i en anden mappe hos en anden person.
Når et brud sker
Datatilsynet skelner mellem risikovurderingen efter artikel 32 og vurderingen efter artikel 33 og 34. Den første ser på alle behandlinger på forhånd. De sidste ser kun på de personer og oplysninger, der faktisk er ramt af et konkret brud, og afgør, om bruddet skal anmeldes, og om de berørte skal underrettes. Den løbende vurdering er derfor et godt udgangspunkt, men den erstatter ikke vurderingen af det konkrete brud. Samspillet mellem de to underretninger er beskrevet i persondatabrud og NIS2.
Det skal I lade være med
- At slå de to konsekvenser sammen i ét tal. Risikoen for de registrerede forsvinder i gennemsnittet.
- At lave to helt separate vurderinger. Så bliver aktiverne og truslerne beskrevet forskelligt to steder.
- At bruge omsætning som mål for skaden på de registrerede. Datatilsynet skriver udtrykkeligt, at det er risikoen for personerne, der skal vurderes.
- At glemme DPO’en eller den databeskyttelsesansvarlige. Personperspektivet kræver deres viden.
Det skal I kræve af den eksterne
- ☐ Ét fælles register over aktiver, trusler og foranstaltninger.
- ☐ To konsekvenskolonner: de registrerede og virksomheden med kunderne.
- ☐ Kildehenvisning til Datatilsynets egne vejledninger, når artikel 32 omtales.
- ☐ En klar fordeling af, hvem der opdaterer hvilken del.
- ☐ Rapportering, der viser høje risici for de registrerede særskilt.
- ☐ Oplysning om bindinger til leverandører, der kunne farve anbefalingerne.
Kilder
- Datatilsynet: Risikovurdering: risikobegrebet, ingen krav til metode, artikel 5 og 32 om alle behandlinger, artikel 33 og 34 om det konkrete brud.
- Datatilsynet: De 10 brud: artikel 32 handler om risikoen for de berørte personer og ikke om organisationens omsætning.
- Datatilsynet: Katalog over foranstaltninger: tekniske og organisatoriske foranstaltninger efter artikel 5, 25 og 32.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, om foranstaltninger og politikker for risikoanalyse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Dataklassifikation · Én hændelse, to underretninger
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
