Beslutningen om at underrette myndighederne bør ligge hos en navngiven person i direktionen med en stedfortræder, og den bør træffes ud fra kriterier, som ledelsen har vedtaget, før noget sker. NIS2-lovens § 12, stk. 2, giver to betingelser for, hvornår en hændelse er væsentlig, og Styrelsen for Samfundssikkerhed (SAMSIK) har lavet et beslutningstræ, der gør vurderingen hurtigere. Ansvaret bliver hos virksomheden, også når driften ligger hos en leverandør. Derfor er det et ledelsesspørgsmål, hvem der må sige ja, og hvad der sker, når den person ikke kan nås. Teksten bygger på lovteksten og myndighedens vejledning og er ikke juridisk rådgivning.
Lovens to betingelser og myndighedens beslutningstræ
Efter § 12, stk. 1, skal væsentlige og vigtige enheder underrette den kompetente myndighed og CSIRT om enhver væsentlig hændelse. Bag forkortelsen gemmer sig Computer Security Incident Response Team, herhjemme en enkelt national enhed. Væsentligheden afgøres efter § 12, stk. 2, som har to led. Det første led handler om virksomheden selv, nemlig alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab, som hændelsen har skabt eller kan skabe. Det andet handler om omverdenen, nemlig betydelig fysisk eller ikkefysisk skade hos andre personer eller virksomheder.
SAMSIKs vejledning om hændelsesunderretning samler vurderingen i et beslutningstræ i bilag 1. Første spørgsmål er, om hændelsen rammer de net- og informationssystemer, der understøtter de tjenester, som gør virksomheden omfattet af loven. Er svaret nej, er hændelsen ikke væsentlig i lovens forstand, og frivillig underretning er stadig mulig. Er svaret ja, går man videre til de tre situationer: alvorlig driftsforstyrrelse, betydeligt økonomisk tab for enheden eller betydelig skade hos andre. Én af dem er nok.
Tærskler, som ledelsen vedtager på forhånd
Vejledningen viser, at enheden selv kan fastsætte målbare grænser for, hvad den anser for kritisk. Det kan være en grænse for, hvor stor en andel af brugerne der må mangle adgang til en tjeneste, eller hvor længe en tjeneste må være nede. Et af vejledningens eksempler er en produktionsvirksomhed, hvis risikovurdering på forhånd har sat grænsen for et betydeligt tab ved en procentdel af årsomsætningen.
Her ligger den egentlige ledelsesopgave. Tærsklerne er forretningsbeslutninger om, hvad virksomheden kan tåle, og de hører til i samme sammenhæng som risikovurderingen for ledelsen. En CISO kan foreslå tallene ud fra jeres tjenester og kontrakter, men det er direktionen, der vedtager dem. Når grænserne står på papiret, bliver vurderingen under en hændelse et spørgsmål om at sammenligne med noget kendt i stedet for at diskutere principper klokken to om natten.
Vejledningen nævner også, at varigheden måles fra afbrydelsen af den korrekte levering til genopretningen, og at planlagt vedligeholdelse ikke skal underrettes. Begge dele kan stå direkte i jeres kriterier.
Ansvaret flytter ikke med driften
Kapitel 2 i vejledningen handler om outsourcet drift. Køber virksomheden vedligeholdelsen af sine systemer udefra, er det stadig virksomhedens ansvar at underrette ved en væsentlig hændelse. Det er tilladt at aftale, at driftsleverandøren sender underretningen på virksomhedens vegne, men ansvaret for, at det sker rettidigt, ligger altid hos virksomheden.
Det har to følger for ledelsen. Leverandøren skal kunne levere de oplysninger, vurderingen kræver, hurtigt og også uden for arbejdstid, og det hører hjemme i aftalen, se leverandørstyring. Og leverandøren kan godt sende, men beslutningen om at sende skal stadig træffes hos jer. Leverandørens side af samme sag er beskrevet på nis2-pentest.dk.
Mandatet uden for arbejdstid
Fristen for den tidlige varsling er 24 timer fra kendskabet til den væsentlige hændelse, og vejledningen understreger, at uden unødigt ophold betyder, at man melder, så snart hændelsen viser sig at være væsentlig. Kun behørigt begrundede omstændigheder kan forklare, at der ventes til fristens udløb. Hændelser respekterer ikke kontortid, så mandatet skal række ud over den.
Et brugbart mandat svarer på fire spørgsmål:
- Hvem i direktionen beslutter underretning, og hvem er første og anden stedfortræder?
- Hvem forbereder vurderingen, typisk CISO sammen med driftsleverandøren?
- Hvad gør den vagthavende, hvis ingen i direktionen kan nås inden for en aftalt tid?
- Hvem sender selve underretningen på virk.dk, og hvem har adgang dertil?
Det tredje spørgsmål er det, der oftest står åbent. En løsning er, at CISO får mandat til at sende en tidlig varsling, når kriterierne klart er opfyldt, og direktionen ikke kan nås. Hvordan et sådant mandat formuleres, er emnet for mandat til en ekstern CISO.
Når billedet er uklart
Ofte ved man ikke i de første timer, om en hændelse er væsentlig. Lovens ord er forårsaget eller kan forårsage, så en hændelse kan være væsentlig, før skaden er sket. Vejledningen nævner som eksempel en angriber, der har placeret sig i systemerne for senere at kunne afbryde tjenesterne. Den siger også, at vejledningens kriterier skal bruges, når man er i tvivl.
Tag produktionsvirksomheden med 40 ansatte, der er omfattet som vigtig enhed. En lørdag melder driftsleverandøren, at en administratorkonto er brugt fra en ukendt adresse. Intet er krypteret endnu. Vagthavende CISO ser, at ordresystemet og styringen af maskinerne er tilgængelige fra samme netværk, og at uberettiget adgang til kritiske systemer står som eksempel i vejledningen. Den udpegede direktør nås efter en halv time, læser den korte vurdering og beslutter at sende en tidlig varsling. Beslutning, tidspunkt og begrundelse skrives i hændelsesloggen. Hvad der følger efter varslingen, står i artiklen om de fem meldinger.
Det skal I lade være med
- At lade leverandøren afgøre, om hændelsen er væsentlig · vurderingen og ansvaret er jeres.
- At vente på fuld klarhed over årsagen · loven tæller også hændelser, der kan forårsage skade.
- At have én beslutningstager uden stedfortræder · fristen løber også i ferier og weekender.
- At opfinde tærskler under hændelsen · de skal være vedtaget på forhånd.
- At glemme at skrive afgørelsen ned · også en beslutning om ikke at underrette skal kunne forklares bagefter.
Det skal I kræve af den eksterne
- ☐ Et udkast til kriterier og tærskler, der bygger på § 12, stk. 2, og SAMSIKs beslutningstræ, tilpasset jeres tjenester.
- ☐ En beslutningsliste med navne, stedfortrædere og telefonnumre, som direktionen godkender.
- ☐ Et forslag til mandat for den situation, hvor direktionen ikke kan nås.
- ☐ En kort skabelon til vurderingen, så direktøren kan beslutte på få minutter.
- ☐ Gennemgang af kriterierne mindst én gang om året og efter hver hændelse.
En ekstern uden andel i, hvilken driftsleverandør eller hvilket overvågningsværktøj I vælger, kan vurdere leverandørens bidrag til beslutningen nøgternt.
Hvad gør I nu? Spørg jer selv, hvem der skulle beslutte en lørdag aften, og om vedkommende har kriterierne ved hånden. Står svaret ikke på skrift, er det første punkt til næste ledelsesmøde. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12, stk. 1 og 2, om underretningspligt og væsentlige hændelser, § 13, stk. 1, nr. 1, om den tidlige varsling.
- Styrelsen for Samfundssikkerhed, vejledning om hændelsesunderretning: kapitel 1 om kriterier og egne tærskler, kapitel 2 om outsourcet drift, kapitel 4 om uden unødigt ophold, bilag 1 med beslutningstræet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Én hændelse, to underretninger · Beredskabsplan: ledelsens del af planen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
