NIS2 er et EU-direktiv om cybersikkerhed, som Danmark har gennemført i NIS2-loven, lov nr. 434 fra maj 2025. Den har gældt siden 1. juli 2025 for virksomheder og myndigheder i udvalgte sektorer, når de har en vis størrelse. De skal styre risikoen for deres IT, registrere sig og underrette om væsentlige hændelser. For en direktion er det vigtigste, at loven placerer godkendelsen og tilsynet hos ledelsesorganet. Teksten er ikke juridisk rådgivning.
Hvad NIS2 står for
NIS er en forkortelse for net- og informationssystemer, altså IT-systemer, forbindelser og data i bred forstand. SAMSIKs vejledning nævner også systemer, der styrer maskiner og anlæg. Tallet 2 viser, at det er anden udgave: direktiv (EU) 2022/2555 bygger videre på og ophæver det første direktiv fra 2016.
Formålet er ifølge Styrelsen for Samfundssikkerhed (SAMSIK) at styrke og ensarte cybersikkerheden og modstandsdygtigheden i EU i de sektorer, der anses for kritiske for økonomien og samfundet.
Direktivet, loven og navnene
Der er flere tekster, og de har hver sin rolle:
- Direktivet er rettet til medlemslandene, som skal skrive det ind i deres egne regler. Har I selskaber i andre EU-lande, kan de høre under det pågældende lands regler.
- Den danske lov er det, I som dansk virksomhed skal læse. Dens fulde navn er lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, og den forkortes NIS2-loven.
- Bekendtgørelse nr. 620 af 2. juni 2025 udpeger de myndigheder, der fører tilsyn, og fastlægger, at registrering og underretning sker digitalt.
- Særlove gælder for energi, tele og dele af finanssektoren. Her er direktivet gennemført i lov om styrket beredskab i energisektoren, lov om sikkerhed og beredskab i telesektoren og lov om finansiel virksomhed.
- En EU-gennemførelsesforordning gælder ifølge SAMSIK for digitale udbydere.
Ordet cybersikkerhedsloven møder I måske også. Det er ingen officiel betegnelse, og det står hverken i lovens titel eller som dens korte navn på Retsinformation. Ordet giver mening som dagligt udtryk, fordi titlen handler om cybersikkerhedsniveauet. Bruges det i et tilbud eller en kontrakt, er det en god idé at spørge, hvilket lovnummer der menes, og henvise til lov nr. 434 i jeres egne dokumenter.
CER er noget andet. CER-loven handler om kritiske enheders samlede modstandsdygtighed, og den gælder kun for dem, der udpeges, se Udpeget som kritisk enhed. DORA er finanssektorens egen forordning, se DORA eller NIS2.
Hvornår gælder loven?
Den danske lov gælder fra 1. juli 2025, hvor den trådte i kraft, jf. § 33, stk. 1. Enheder, der var omfattet fra starten, skulle registrere sig senest den 1. oktober 2025. Kommer I ind under loven i dag, er fristen 2 uger, og for digitale udbydere 3 måneder. Alle frister står på siden om frister i sikkerhedsarbejdet.
Reglerne kan ændre sig. Ministeren skal senest 3 år efter ikrafttrædelsen give Folketinget en rapport om erfaringerne, jf. § 33, stk. 2, og det, der er på vej fra EU, følges i regler på vej for sikkerhedsledelsen.
Hvem loven gælder for
Tre forhold afgør det: sektoren, størrelsen og et mindre antal regler, der gælder uanset størrelse. Omfattede enheder deles i væsentlige og vigtige. Ifølge SAMSIK er kravene som udgangspunkt ens, mens forskellen viser sig i tilsynet og i sanktionsmulighederne. Selve vurderingen er gennemgået trin for trin i Er vi omfattet af NIS2?.
Det, loven kræver af ledelsen
Hvem der er ledelsesorgan, følger af § 3, nr. 20, og afhænger af selskabsformen. Har selskabet både bestyrelse og direktion, er det som hovedregel bestyrelsen. Har det alene en direktion, er det direktionen. Fire ting er ledelsens at holde styr på:
- Godkendelse og tilsyn. Ledelsesorganet godkender foranstaltningerne og følger, om de bliver gennemført, jf. § 7, stk. 1.
- Kurser. Efter § 7, stk. 2, skal medlemmerne på kursus i styring af cyberrisici og tilskynde til, at de øvrige ansatte også får tilbuddet.
- Beredskab. Efter §§ 12 og 13 skal væsentlige hændelser underrettes til myndighed og CSIRT, det nationale team for sikkerhedshændelser. Den tidlige varsling skal af sted inden for 24 timer fra kendskab til hændelsen. Modtagerne af jeres tjenester skal efter § 15 også have besked, når leveringen sandsynligvis bliver ramt.
- Registrering og ajourføring. Oplysningerne hos myndigheden skal passe, og ændringer skal meldes inden for fristen.
Foranstaltningerne selv står i § 6. Ti områder skal som minimum være dækket. Set fra direktionens stol falder de i fire grupper: styring (politikker, risikoanalyse og vurdering af, om foranstaltningerne virker), robusthed (hændelser, kontinuitet, backup og krisestyring), omverdenen (leverandører og køb og vedligehold af systemer) og hverdagen (cyberhygiejne, uddannelse, kryptografi, adgange, personale og multifaktorlogin). Kravet er, at foranstaltningerne er passende og forholdsmæssige. Arbejdet begynder derfor med en risikovurdering.
Når noget ikke er i orden
Mangler et krav, skal det rettes uden unødigt ophold, jf. § 6, stk. 2. Myndigheden fører tilsyn med væsentlige enheder efter § 21. Vigtige enheder får efter § 24 et reaktivt tilsyn, som bygger på indikationer på, at loven ikke overholdes. Overtrædelser kan straffes med bøde efter § 32, og for væsentlige enheder kan myndigheden i sidste ende midlertidigt forbyde en administrerende direktør at udøve ledelsesfunktioner, jf. § 23. Læs mere om tilsyn efter NIS2 og bøder efter NIS2-loven.
Det, loven lader jer afgøre selv
Loven kræver ingen bestemt titel, som Kræver NIS2, at vi har en CISO? forklarer. Den udpeger heller ingen rolle til arbejdet, og hvordan opgaverne fordeles, er ledelsens valg, se NIS2 og valg af rolle.
Tre spørgsmål til næste direktionsmøde
- Har vi en dokumenteret vurdering af, om vi er omfattet, for hvert selskab?
- Hvis ja: Hvornår godkendte ledelsesorganet senest foranstaltningerne, og hvor står det i referatet?
- Hvem kan afgøre og sende en underretning inden for 24 timer, også i ferier?
Det skal I lade være med
- At henvise til “NIS2” i aftaler uden lovnummer · så ved ingen, hvilken tekst der gælder.
- At læse direktivet i stedet for loven · det er den danske lov, der binder en dansk virksomhed.
- At købe noget, før risikovurderingen ligger klar · så ved I ikke, hvad der mangler.
Det skal I kræve af den eksterne
- ☐ En forklaring af NIS2 på et møde, med jeres egen virksomhed som eksempel.
- ☐ Henvisninger til lov nr. 434 med paragraf i alle dokumenter.
- ☐ Klar adskillelse af krav i loven, anbefalinger i vejledninger og egne forslag.
- ☐ Besked, når regler ændres og rammer jer.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: §§ 3, 6, 7, 12, 13, 15, 21, 23, 24, 32 og 33.
- Bekendtgørelse nr. 620 af 2. juni 2025: kompetente myndigheder og digital kommunikation.
- SAMSIK: Spørgsmål og svar om NIS2: formål, særlove og forskellen på væsentlige og vigtige enheder.
- SAMSIK: Vejledning om implementering af foranstaltningerne: henvisningen til gennemførelsesforordningen for digitale udbydere.
- SAMSIK: Vejledning om anvendelsesområdet: ordlisten om net- og informationssystemer.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Ledelsen skal godkende og føre tilsyn · Ordliste om sikkerhedsledelse
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
