Rammer et angreb både de systemer, der gør virksomheden omfattet af NIS2, og personoplysninger, kan det udløse to underretninger med hver sin vurdering og hver sin frist. NIS2-loven spørger, om hændelsen er væsentlig for virksomhedens tjenester. Databeskyttelsesforordningen ser på de mennesker, hvis oplysninger er ramt, og om de løber en risiko. Datatilsynet skriver i sin vejledning om brud fra maj 2025, at NIS2-fristen som udgangspunkt ikke påvirker fristen for anmeldelse til Datatilsynet, men at det af praktiske grunde kan være en fordel at anmelde samtidig. Ledelsen skal derfor have to vurderinger på bordet og ét fælles grundlag for dem. Teksten er ikke juridisk rådgivning.
To spørgsmål til samme hændelse
NIS2-lovens § 12, stk. 2, måler hændelsen på tjenesterne og forretningen med driftsforstyrrelser, økonomiske tab og skade, der rammer andre. Personoplysninger nævnes slet ikke i bestemmelsen.
Artikel 33 i forordningen gør anmeldelsen til hovedreglen. Kun når en risiko for personernes rettigheder og frihedsrettigheder er usandsynlig, kan virksomheden som dataansvarlig lade være. Her er det de registrerede, der står i centrum. Datatilsynet fremhæver, at risikoen skal vurderes for hver enkelt registreret, så et brud som udgangspunkt skal anmeldes, selv om kun én af mange berørte er i fare.
De to vurderinger kan derfor give forskellige svar. Et angreb, der lammer ordresystemet i et døgn uden at nogen data forlader huset, kan være væsentligt efter NIS2 uden at være et persondatabrud med risiko. En medarbejder, der sender en liste med helbredsoplysninger til en forkert modtager, kan være et anmeldelsespligtigt brud uden at være en væsentlig hændelse.
Fristerne løber hver for sig
NIS2-lovens § 13 kræver en tidlig varsling inden 24 timer og en hændelsesunderretning inden 72 timer efter kendskabet til den væsentlige hændelse. Hver melding er gennemgået i ledelsens første måned efter en hændelse.
Over for Datatilsynet er kravet, at anmeldelsen sker uden unødig forsinkelse og så vidt muligt inden 72 timer, efter at virksomheden blev bekendt med bruddet. En senere anmeldelse skal have en begrundelse for forsinkelsen. Datatilsynet regner som udgangspunkt virksomheden for bekendt med bruddet, når en medarbejder bliver det, men en ren formodning er ikke nok. Formodningen skal straks undersøges, og er der efter de første undersøgelser stadig tvivl, bør tvivlen føre til anmeldelse.
Tilsynet skriver også, at 72 timer gælder i weekender og på helligdage, og at fravær på grund af ferie eller sygdom generelt ikke begrunder en forsinkelse. Kan anmeldelsen ikke blive fuldstændig i tide, sendes det, der vides, og resten følger trinvis.
Samme indgang, to modtagere
Både SAMSIK og Datatilsynet bruger virk.dk. SAMSIKs vejledning om hændelsesunderretning oplyser, at det i NIS2-underretningen er muligt at krydse af, at Datatilsynet også skal have en anmeldelse om brud på persondatasikkerheden. Det sparer tid, men det fjerner ikke de to vurderinger. Hver modtager forventer at få oplysninger, der passer til sin lovgivning, og Datatilsynet bruger anmeldelsen til at vurdere, om de registrerede skal underrettes, se når de berørte personer selv skal underrettes.
Hvem ejer hvilken vurdering
Vurderingen efter NIS2 forberedes af den, der leder sikkerhedsarbejdet, typisk en CISO sammen med driften, og den besluttes af den person i direktionen, der har mandatet. Den rolle er beskrevet i artiklen om beslutningen om at underrette.
Vurderingen efter forordningen tilhører den dataansvarlige, altså virksomheden. Er der udpeget en databeskyttelsesrådgiver (DPO), hører vedkommende med fra første time, og hvad DPO-rollen indebærer, står på ekstern-it-ledelse.dk. Har den ikke, bør ledelsen udpege den person, der vurderer risikoen for de registrerede. Datatilsynet anbefaler, at en eller flere medarbejdere bemyndiges til at anmelde på virksomhedens vegne, og at det gerne er nogen, der i forvejen er med i håndteringen af brud. Andre, fx konsulenter, kan anmelde med fuldmagt, men det juridiske ansvar bliver hos virksomheden.
Ét fælles hændelseslog
To vurderinger bør bygge på samme fakta. Ét log for hændelsen, hvor tidspunkter, opdagelser, beslutninger og begrundelser skrives ned, giver begge spor samme grundlag og forhindrer, at de to anmeldelser fortæller forskellige historier.
Datatilsynets kapitel 5 kræver desuden, at alle brud dokumenteres, også dem, der ikke anmeldes. Dokumentationen skal blandt andet rumme tidspunkt, hvad der skete, årsagen, de berørte typer oplysninger, konsekvenserne, de afhjælpende tiltag og om der er anmeldt. Begrundelsen for at lade være med at anmelde bør stå særlig tydeligt. Det log, ledelsen fører under hændelsen, kan med få ekstra felter dække begge behov.
Kapitel 7 i vejledningen opstiller, hvad en procedure skal kunne: intern rapportering med fordelt ansvar, standsning af bruddet, risikovurdering, anmeldelse og underretning i tide og dokumentation. Den liste kan bruges direkte, når ledelsen gennemgår sin egen beredskabsplan.
Et tænkt eksempel
En fødevareproducent med 70 ansatte er omfattet af NIS2 og rammes en fredag aften af et angreb på filserveren. Lørdag formiddag konstaterer driften, at produktionsplanerne er krypteret, og at en mappe med medarbejdernes lønsedler er kopieret ud. CISO vurderer, at nedetiden overstiger virksomhedens egen tærskel for driftsforstyrrelse, og den udpegede direktør godkender en tidlig varsling. Samtidig vurderer den ansvarlige for persondata, at kopierede lønsedler indebærer risiko for medarbejderne. Begge anmeldelser sendes i samme blanket på virk.dk inden for få timer, og begge bygger på samme log.
Det skal I lade være med
- At antage, at NIS2-underretningen dækker Datatilsynet · krydset skal sættes, og vurderingen skal laves.
- At vente på den langsomste frist · begge forpligtelser kræver handling uden unødigt ophold.
- At lade to personer føre hver sin tidslinje · uenige tidspunkter skaber tvivl om kendskabet.
- At glemme brud, der ikke anmeldes · de skal stadig dokumenteres med begrundelse.
- At lade ferie stoppe anmeldelsen · bemyndigelsen skal have stedfortrædere.
Det skal I kræve af den eksterne
- ☐ En procedure, der fører hændelsen gennem begge vurderinger med navngivne ejere.
- ☐ Ét log med felter, der dækker både NIS2-meldingerne og Datatilsynets krav til dokumentation.
- ☐ Afklaring af, hvem der er bemyndiget til at anmelde til Datatilsynet, og hvem der er stedfortræder.
- ☐ Samarbejde med jeres DPO eller persondataansvarlige uden at overtage deres vurdering.
- ☐ Øvelse af et scenarie, hvor begge spor er i spil på én gang.
Hvad gør I nu? Spørg, om jeres beredskabsplan nævner Datatilsynet og NIS2 på samme side, og om begge spor har en navngiven ejer med stedfortræder.
Kilder
- Datatilsynets vejledning om brud på persondatasikkerheden (maj 2025): afsnit 3.2.8 om risiko for hver registreret, 3.3 om fristen, 3.4 om bemyndigelse, kapitel 5 om dokumentation, afsnit 6.4 om NIS2 og kapitel 7 om procedurer.
- SAMSIK om hændelsesunderretning efter NIS2: kapitel 3, hvor Datatilsynet kan vælges i samme blanket.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12, stk. 2, og § 13, stk. 1.
- GDPR, forordning 2016/679 (eur-lex.europa.eu): artikel 33, anmeldelsespligten over for Datatilsynet.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fra tidlig varsling til endelig rapport · Beredskabsplan: ledelsens del af planen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
