En virksomhed omfattet af NIS2 skal uden unødigt ophold give modtagerne af sine tjenester besked om væsentlige hændelser, der sandsynligvis vil påvirke leveringen negativt. Det følger af NIS2-lovens § 15, stk. 1. Stk. 2 tilføjer en pligt ved væsentlige cybertrusler, hvor modtagerne skal have at vide, hvad de selv kan gøre. Desuden kan myndigheden efter § 16 informere offentligheden eller pålægge virksomheden at gøre det. For ledelsen er de vigtigste spørgsmål, hvem der skriver beskeden, hvem der godkender den, og hvordan den passer sammen med underretningen til myndighederne. Teksten er ikke juridisk rådgivning.
Hvad § 15 kræver
Pligten i § 15, stk. 1, har tre betingelser. Hændelsen skal være væsentlig efter § 12, stk. 2, den skal sandsynligvis påvirke leveringen af tjenesterne negativt, og beskeden skal gives uden unødigt ophold. Modtagerne er dem, virksomheden leverer de tjenester til, som gør den omfattet. Det kan være erhvervskunder, borgere eller andre brugere.
§ 15, stk. 2, handler om noget andet end en hændelse, der er sket. Er modtagerne potentielt berørt af en væsentlig cybertrussel, skal virksomheden uden unødigt ophold oplyse dem om de foranstaltninger eller modforholdsregler, de kan træffe. Hvor det er relevant, skal den også fortælle om selve truslen. En væsentlig cybertrussel er efter § 3, nr. 35, en trussel, der ud fra sine tekniske kendetegn kan antages at kunne få alvorlig indvirkning ved at forårsage betydelig skade.
Overtrædelse af § 15 er nævnt i lovens straffebestemmelse i § 32, stk. 1, nr. 1. Bødeniveauet fremgår ikke af loven.
Myndighedens rolle efter § 16 og § 22
Efter § 16, stk. 1, kan den kompetente myndighed, efter at have hørt virksomheden, informere offentligheden om en væsentlig hændelse. Det kan ske, hvis offentliggørelsen er nødvendig for at forebygge videre udbredelse eller håndtere hændelsen, eller hvis den på anden måde er i offentlighedens interesse. Efter stk. 2 kan myndigheden i stedet træffe afgørelse om, at virksomheden selv skal informere offentligheden, og bestemme hvordan. CSIRT har efter stk. 3 og 4 en tilsvarende mulighed ved hændelser, der berører flere sektorer eller andre lande.
§ 22, nr. 5, giver myndigheden mulighed for at påbyde en væsentlig enhed at underrette dem, den leverer til, om en væsentlig cybertrussel og om de beskyttelsesforanstaltninger, de kan tage. Resten af myndighedens værktøjskasse gennemgås i artiklen om påbud.
For ledelsen betyder det, at den egen kundebesked bør være så god, at myndigheden ikke behøver at gribe ind. Høringen efter § 16, stk. 1, er også en lejlighed til at forklare, hvad virksomheden allerede har meldt ud.
Hvem skriver, og hvem godkender
En kundebesked under en hændelse har både en faglig og en forretningsmæssig side. Den skal være korrekt om det tekniske, og den påvirker kunderelationer, kontrakter og omdømme. En praktisk fordeling er:
- CISO eller den, der leder hændelsen, leverer fakta: hvad der er ramt, hvad der vides om varighed, og hvad kunderne selv bør gøre.
- Den kommunikationsansvarlige skriver beskeden i et sprog, kunderne forstår.
- Den udpegede direktør godkender og beslutter, hvornår den sendes.
- Kundeansvarlige sender eller ringer til de største kunder, når beskeden er godkendt.
Fordelingen bør stå i beredskabsplanen, så den ikke skal forhandles under pres. Beskeden skal også passe med det, der er skrevet til myndighederne i den tidlige varsling, se fra tidlig varsling til endelig rapport. Bredere kommunikation til medarbejdere og presse behandles i krisekommunikation ved cyberangreb.
Kontrakterne kan kræve mere
§ 15 er et minimum. Mange kundekontrakter har egne krav om, hvornår og hvordan kunden skal underrettes, og de kan gælde for hændelser, der ikke er væsentlige i lovens forstand. Kundens egen underretning kan også afhænge af jeres besked, hvis kunden selv er omfattet. Leverandørens vinkel på den situation er beskrevet på nis2-pentest.dk.
Saml derfor kontrakternes krav om besked i ét overblik med frist, kanal og modtager hos hver kunde. Overblikket hører sammen med de øvrige krav fra kunderne, se kundekrav i kontrakten.
Indholdet af en god besked
Beskeden skal kunne læses af en kunde, der ikke kender jeres systemer. Den bør indeholde:
- hvad der er sket, i almindelige ord
- hvilke tjenester der er påvirket, og hvad der vides om varigheden
- hvad kunden selv bør gøre, fx skifte adgangskode eller være på vagt over for falske mails i jeres navn
- hvornår næste opdatering kommer
- hvem kunden kan kontakte
Beskeden bør holde sig fra gæt om gerningsmænd og fra løfter om, hvornår alt kører igen. En kort opdatering til tiden skaber mere tillid end en lang forklaring, der må rettes.
Et tænkt eksempel
Et privat affaldsselskab med 90 ansatte er omfattet som vigtig enhed. Et angreb lammer systemet til ruteplanlægning, og tømningerne i to kommuner bliver forsinket i flere dage. Direktøren beslutter om formiddagen, at hændelsen er væsentlig, og at den sandsynligvis påvirker leveringen. Den kommunikationsansvarlige skriver ud fra CISO’s fakta en besked til de to kommuner og erhvervskunderne, som direktøren godkender inden frokost. Den lover en opdatering næste morgen og fortæller, at kunderne kan ringe til et bestemt nummer. Beskeden sendes, samme dag som den tidlige varsling.
Det skal I lade være med
- At vente, til årsagen er kendt · pligten handler om påvirkningen af leverancen.
- At skrive noget andet til kunderne end til myndighederne · uoverensstemmelser bliver opdaget.
- At glemme kontrakternes egne krav · de kan være strengere end loven.
- At lade en tekniker sende beskeden uden godkendelse · den har forretningsmæssige følger.
- At overse truslerne i § 15, stk. 2 · pligten gælder også, før noget er sket.
Det skal I kræve af den eksterne
- ☐ En skabelon til kundebesked ved hændelse og en til besked om væsentlige trusler.
- ☐ En fordeling af roller for fakta, tekst, godkendelse og afsendelse.
- ☐ Et overblik over kontrakternes krav om besked med frist og kanal.
- ☐ Afstemning mellem kundebeskeden og meldingerne til myndighederne.
- ☐ Øvelse af en kundebesked i den årlige beredskabsøvelse.
Hvad gør I nu? Find de tre største kunders kontakter til en hændelse, og kontrollér, at de står i planen med telefonnummer og navn.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 3, nr. 35, om væsentlig cybertrussel, § 15, stk. 1 og 2, om besked til modtagerne, § 16 om information af offentligheden, § 22, nr. 5, om påbud og § 32, stk. 1, nr. 1, om straf.
- NIS2-direktivet, (EU) 2022/2555 på EUR-Lex: artikel 23, stk. 1 og 2, hvor besked til modtagerne af tjenesterne indgår.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Er hændelsen væsentlig? Hvem beslutter underretning · Når kunderne stiller sikkerhedskrav
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
