NIS2-loven indeholder én sanktion, der er rettet direkte mod personer i ledelsen. Over for en væsentlig enhed kan tilsynsmyndigheden som sidste udvej midlertidigt forbyde en person med ledelsesansvar på niveau med administrerende direktør at udøve ledelsesfunktioner i enheden. Forbuddet forudsætter, at andre håndhævelsesforanstaltninger har vist sig utilstrækkelige, og at en frist er overskredet. Ved siden af NIS2-loven gælder de almindelige regler om ledelsens erstatningsansvar i selskabsretten. Teksten giver et overblik og kan ikke bruges som juridisk vurdering af en konkret sag.
Forbuddet i § 23
Bestemmelsen står i § 23, stk. 1, nr. 2, i lov nr. 434 af 6. maj 2025. Rækkefølgen er vigtig. Først skal myndigheden have brugt en eller flere af foranstaltningerne i § 22, nr. 1 til 4, dvs. advarsler, bindende instrukser, påbud om at forhindre eller afhjælpe en hændelse eller påbud og forbud. Har det ikke været nok, kan myndigheden fastsætte en frist. Først når fristen er overskredet uden de nødvendige tiltag, kan den træffe afgørelse om det midlertidige forbud.
Forbuddet gælder kun, indtil enheden har rettet manglerne eller opfyldt kravene, jf. § 23, stk. 2. Afgørelsen kan ikke påklages til en anden administrativ myndighed, men den person, den vedrører, kan forlange den indbragt for domstolene efter § 23, stk. 3. Efter stk. 4 gælder bestemmelserne ikke for offentlige forvaltningsenheder.
Hvem det kan ramme
Ordlyden er “enhver fysisk person med ledelsesansvar på niveau med administrerende direktør eller den juridiske repræsentant hos enheden”. Styrelsen for Samfundssikkerhed skriver i vejledningen om ledelsens rolle, at sanktionen kun bruges som sidste udvej, at forbuddet skal være proportionalt med overtrædelsens alvor, og at det er midlertidigt.
Sanktionen findes i afsnittet om væsentlige enheder. For vigtige enheder opregner § 25 håndhævelsesforanstaltninger som advarsler, bindende instrukser og påbud, men ikke et forbud mod at udøve ledelsesfunktioner. Om virksomheden er væsentlig eller vigtig, afgøres efter §§ 4 og 5. Hvem der i øvrigt hører til ledelsesorganet, står i Hvem er ledelsesorganet efter NIS2-loven?.
Bøder og virksomhedens ansvar
Straffebestemmelsen i § 32 retter sig mod overtrædelse af bl.a. § 6 om foranstaltninger, reglerne om registrering og underretning og manglende efterlevelse af myndighedens afgørelser. Efter § 32, stk. 2, kan selskaber straffes efter straffelovens 5. kapitel. Bøden rammer i så fald virksomheden. For ledelsen betyder det, at en sag om manglende foranstaltninger kan få økonomiske følger for selskabet, også når ingen person rammes direkte.
Direktivet går et skridt videre i formuleringen. Efter artikel 20, stk. 1, skal medlemsstaterne sørge for, at ledelsesorganer kan drages til ansvar, når enheden overtræder kravene til foranstaltninger. Lovens tekst indeholder ingen særskilt regel om ledelsens erstatningsansvar, og SAMSIK peger for den del på selskabsretten.
Det almindelige ansvar i selskabsretten
SAMSIK-vejledningen går ikke ind i ansvarsnormen i dansk ret og nævner selskabsretten som det sted, den følger af. Efter selskabslovens § 361 (LBK nr. 331 af 20. marts 2025) skal medlemmer af ledelsen erstatte skade, de forsætligt eller uagtsomt har påført selskabet, kapitalejere eller tredjemand. Om en mangelfuld styring af cybersikkerheden kan føre til erstatningsansvar, afhænger af de konkrete omstændigheder. Sammenhængen mellem NIS2 og selskabsloven er beskrevet i NIS2 og selskabslovens krav til ledelsen.
Det, der beskytter ledelsen bedst
Den sikreste vej væk fra sanktionerne er at kunne dokumentere, at ledelsen har levet op til § 7. Det betyder i praksis:
- Et dokumenteret grundlag for de foranstaltninger, ledelsen har godkendt.
- Referater, der viser godkendelse og løbende tilsyn, se Ledelsen skal godkende og føre tilsyn.
- Kursusbeviser for ledelsesorganets medlemmer efter § 7, stk. 2.
- Hurtig reaktion på advarsler og påbud fra myndigheden, så sagen ikke når til fristen i § 23.
- Klar fordeling af arbejdet, så det står klart, hvem der forbereder, og hvem der beslutter.
Sanktionen i § 23 er bygget som en trappe, så virksomheden får flere muligheder for at rette op, før det sidste trin kan komme på tale. Hvordan ledelsens ansvar ser ud, når det handler om test og testresultater, beskriver sikkerhedstesten.dk i artiklen om ledelsens ansvar for IT-sikkerhed.
Det skal I lade være med
- At tro, at en ekstern CISO overtager ansvaret. Godkendelse og tilsyn ligger hos ledelsesorganet, også når arbejdet er lagt ud.
- At ignorere en advarsel fra tilsynsmyndigheden. Det er første trin på vejen mod de skrappere midler.
- At overdrive risikoen over for bestyrelsen. Et forbud er en sidste udvej efter flere trin; en nøgtern forklaring giver bedre beslutninger.
- At regne med, at en ansvarsforsikring løser problemet. Pligterne efter NIS2-loven er de samme, uanset hvordan virksomheden er forsikret.
- At undlade at få en juridisk vurdering, når en sag er åben. Paragrafferne kræver fortolkning i det konkrete tilfælde.
Det skal I kræve af den eksterne
- ☐ En oversigt over, hvilke dokumenter der viser ledelsens godkendelse, tilsyn og uddannelse.
- ☐ Henvisninger til de paragraffer, der faktisk gælder for jer som væsentlig eller vigtig enhed.
- ☐ Et forslag til, hvordan virksomheden reagerer, hvis myndigheden henvender sig.
- ☐ Tydelig besked, når et spørgsmål kræver en advokat.
- ☐ Forberedelse af ledelsens svar til myndigheden, så ledelsen selv kan stå inde for dem.
Ledelsens samlede pligter er beskrevet på NIS2 og ledelsens ansvar. Næste skridt er at fastslå, om virksomheden er væsentlig eller vigtig, og derefter gennemgå, om referater og kursusbeviser kan vise, at pligterne efter § 7 er opfyldt.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: §§ 4 og 5 (væsentlige og vigtige enheder), § 7 (ledelsesorganets pligter), § 22 (håndhævelse over for væsentlige enheder), § 23 (frist og midlertidigt forbud), § 25 (håndhævelse over for vigtige enheder), § 32 (straf).
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: afsnit 7 om sanktioner over for ledelsen.
- Selskabsloven, LBK nr. 331 af 20. marts 2025: § 361 om ledelsens erstatningsansvar.
- NIS2-direktivet, (EU) 2022/2555: artikel 20, stk. 1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: NIS2-uddannelse af ledelsen · Cybersikkerhed i bestyrelseslokalet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
