Registreringen er en indberetning af oplysninger til myndigheden. Den forpligter virksomheden, men den løser ingen af lovens krav. Efter registreringen skal ledelsen placere ansvaret for arbejdet, få lavet en risikovurdering og en status på lovens minimumsområder, gennemføre sine egne kurser, forberede beredskabet til underretning om hændelser og derefter godkende foranstaltningerne. Rækkefølgen betyder noget, fordi hver beslutning bygger på den forrige.
Hvad registreringen er
Efter § 10, stk. 1, i NIS2-loven skal væsentlige og vigtige enheder registrere sig hos den kompetente myndighed med navn, adresse og kontaktoplysninger, sektor og delsektor efter bilag 1 eller 2 og de øvrige EU-lande, hvor de leverer tjenester. Efter § 10, stk. 2, skal det ske senest to uger efter, at enheden bliver omfattet. Virksomheder, der var omfattet fra lovens start, skulle efter § 33, stk. 3, have indgivet oplysningerne senest 1. oktober 2025. Ændres oplysningerne, skal myndigheden have besked inden for to uger, jf. § 10, stk. 3. Ifølge Styrelsen for Samfundssikkerhed sker registreringen via en blanket på virk.dk.
Er I i tvivl om, hvorvidt virksomheden overhovedet er omfattet, gennemgår nis2-pentest.dk sektorerne i lovens bilag. Selve vurderingen hører hjemme hos jeres juridiske rådgiver og den sektoransvarlige myndighed.
Første beslutning: hvem ejer arbejdet
Før noget andet bør ledelsen udpege, hvem der skal drive arbejdet frem til godkendelsen. Det kan være en intern medarbejder eller en ekstern CISO, men personen skal have tid, et skriftligt mandat og direkte adgang til ledelsen. Uden det bliver de næste skridt hængende hos IT-leverandøren eller økonomichefen ved siden af deres øvrige opgaver. Hvad mandatet bør indeholde, står i Hvilket mandat skal en ekstern CISO have?.
Samtidig bør ledelsen afklare, hvem der er ledelsesorganet efter § 3, nr. 20. I et selskab med bestyrelse er det bestyrelsen, og så er det bestyrelsen, der skal godkende.
Anden beslutning: grundlaget og ledelsens kurser
Den, der ejer arbejdet, laver to ting, som ledelsen skal tage stilling til:
- En risikovurdering af de systemer og tjenester, forretningen afhænger af, se Risikovurdering, som ledelsen kan træffe beslutninger på.
- En status for hvert minimumsområde i § 6, stk. 1, med det, der allerede er på plads, og det, der mangler.
Statussen viser ofte, at meget findes i forvejen hos IT-leverandøren, men uden at være beskrevet eller fulgt op. Det er en god nyhed, fordi en del af arbejdet så handler om at dokumentere frem for at bygge nyt.
Samtidig bør ledelsen selv komme i gang. § 7, stk. 2, kræver, at ledelsesorganets medlemmer deltager i relevante kurser. Det giver mening at gøre det tidligt, så ledelsen har kendskab til emnet, når den skal godkende. Et forløb, der tager udgangspunkt i den nye risikovurdering, slår to fluer med ét smæk. Valget af forløb er beskrevet i NIS2-uddannelse af ledelsen.
Tredje beslutning: klar til en hændelse
Fristerne for underretning gælder fra registreringen og frem. § 13 giver 24 timer fra kendskabet til den tidlige varsling og 72 timer til hændelsesunderretningen. Ledelsen bør derfor tidligt beslutte, hvem der afgør, om kriterierne i § 12, stk. 2, er opfyldt, hvem der sender underretningen, og hvem der skal orienteres. Efter § 15 skal virksomheden også uden unødigt ophold underrette modtagerne af sine tjenester om væsentlige hændelser, der sandsynligvis påvirker leveringen negativt. Det betyder, at kundelisten og kontaktvejene til de vigtigste kunder hører med i forberedelsen. Det behøver ikke vente på den samlede plan.
Fjerde beslutning: godkendelse og rytme
Når grundlaget er klar, kan ledelsen godkende foranstaltningerne efter § 7, stk. 1, og fastlægge, hvordan tilsynet skal foregå. En fast plads på dagsordenen et par gange om året er et realistisk udgangspunkt for de fleste. Hvordan godkendelsen og tilsynet kan dokumenteres, står i Ledelsen skal godkende og føre tilsyn.
For NIS2-underleverandøren, hvis kunder også stiller krav, er det en fordel at lade godkendelsen omfatte de dokumenter, kunderne beder om, så de samme svar går igen.
Det skal I lade være med
- At se registreringen som afslutningen. Den er starten på pligterne.
- At starte med at købe værktøjer. Uden risikovurdering ved I ikke, hvad der mangler.
- At lade registreringsoplysningerne forælde. Nye kontaktpersoner eller lande skal meldes inden for to uger.
- At udskyde beredskabet til sidst. Fristerne løber allerede.
- At lægge hele forløbet hos IT-leverandøren. Leverandøren kan levere en stor del, men ledelsen skal have sit eget overblik.
Det skal I kræve af den eksterne
- ☐ En køreplan for det første halve år med beslutninger, ansvarlige og datoer.
- ☐ En status på de ti områder i § 6, stk. 1, i et sprog, ledelsen kan bruge.
- ☐ Et forslag til, hvem der vurderer og underretter om væsentlige hændelser.
- ☐ Et oplæg til godkendelse, der kan sættes direkte på dagsordenen.
- ☐ En påmindelse, når registreringsoplysningerne skal opdateres.
Ledelsens øvrige pligter er samlet på NIS2 og ledelsens ansvar. Næste skridt er at sætte de fire beslutninger på de næste tre ledelsesmøder, så der er en dato for hver.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 3, nr. 20 (ledelsesorganet), § 6, stk. 1, § 7, § 10 (registrering), § 12, stk. 2, og § 13 (væsentlige hændelser og frister), § 15 (underretning af modtagerne af tjenesterne), § 33, stk. 3 (frist 1. oktober 2025).
- SAMSIK: Spørgsmål og svar om NIS2: registrering via blanket på virk.dk.
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: ledelsens godkendelse, tilsyn og kurser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem er ledelsesorganet efter NIS2-loven? · Beredskabsplan: ledelsens del af planen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
