Siden frister i sikkerhedsarbejdet samler det, der gælder i dag. Denne kalender viser det, der er på vej. Ledelsen behøver ikke at læse hvert forslag, men nogen skal vide, hvad der kommer, om det er vedtaget, og om det rammer jer. Derfor står hver linje med dato, status og en foreslået ejer. Vedtagne regler kan planlægges efter. Forslag holdes under opsyn, og de ændrer ikke jeres plan, før de er vedtaget. Kalenderen er et opslag og ikke juridisk rådgivning, og den afløser ikke egen læsning af den regel, der rammer jer.
Vedtagne datoer
- 2. december 2026, AI · nye forbud i AI-forordningen træder i kraft, og AI-systemer på markedet før 2. august 2026 skal fra samme dato leve op til kravet om maskinlæsbar mærkning af genereret materiale. Status: vedtaget ved ændringen af forordningen. Ejer: den, der ejer jeres regler for generativ AI, sammen med den, der køber AI-systemer.
- 20. januar 2027, maskiner · bekendtgørelse nr. 956 af 3. november 2026 med supplerende regler til maskinforordningen træder i kraft. Status: udstedt. Ejer: produktionsansvarlig eller den, der ejer indkøb af maskiner. Hvilke krav til cybersikkerhed forordningen selv stiller, har vi ikke gennemgået, så det skal læses i forordningen. Se sikkerhedsledelse i produktionen.
- 2. april 2027, persondata · forordning (EU) 2025/2518 om yderligere procedureregler for håndhævelsen af databeskyttelsesforordningen i grænseoverskridende sager gælder fra denne dato. Den ændrer ikke de materielle rettigheder. Status: vedtaget. Ejer: DPO eller den, der ejer persondata. Relevant, hvis I behandler oplysninger i flere EU-lande.
- 2. december 2027, højrisiko-AI · kravene til højrisiko-AI i forordningens bilag III gælder. Bilag I følger 2. august 2028. Status: vedtaget. Ejer: den, der ejer AI-regler, og HR, hvis systemerne bruges om medarbejdere.
- 11. december 2027, produkter med digitale elementer · hovedkravene i Cyber Resilience Act gælder. Underretningspligten har gældet siden 11. september 2026. Status: vedtaget. Ejer: hos producenter teknisk ledelse, hos købere den, der ejer indkøb. Se sikkerhedsledelse i softwarehuset.
Kritiske enheder: uret starter ved underretningen
CER-loven har ingen fælles dato for virksomhederne. SAMSIK oplyser, at myndighederne i andet halvår 2026 identificerer og partshører mulige kritiske enheder, og at de udpegede får besked senest en måned efter afgørelsen. Risikovurderingen skal foreligge 9 måneder efter underretningen, og kravene i §§ 6 til 9 gælder efter 10 måneder. Ejer: direktionen, hvis I har fået en henvendelse. Se Udpeget som kritisk enhed.
Foreslået i Folketinget eller i høring
Datoerne her er forslag. Retsinformation viste ingen vedtagelse ved vores gennemgang, og teksten kan blive ændret. Slå status op, før I handler.
- 9. december 2026 foreslået, produktansvar · lovforslag L 32 gennemfører EU’s direktiv om produktansvar. Ifølge bemærkningerne anses software som et produkt uanset leverings- eller brugsmåde. Ejer: direktionen sammen med advokat, hvis I sælger software eller produkter med software.
- 1. januar 2027 foreslået, vandsektoren · lovforslag L 70 giver miljøministeren hjemmel til regler om beredskabsplaner og sikkerhedsforanstaltninger for almene vandforsyninger og spildevandsselskaber. Formålet er også at nå de mindre forsyninger uden for NIS2 og CER. Ejer: bestyrelsen i forsyningen. Se sikkerhedsledelse i mindre forsyningsselskaber.
- Dagen efter bekendtgørelsen foreslået, AI-loven · lovforslag L 3 erstatter den gældende lov nr. 467 af 14. maj 2025. Digitaliseringsstyrelsen bliver centralt kontaktpunkt, og forslaget indeholder bødestraf for blandt andet overtrædelse af forordningens regler for idriftsættere, dvs. dem, der bruger et AI-system i virksomheden. Ejer: den, der ejer AI-regler.
- 1. marts 2027 foreslået, dansk CRA-lov · et udkast til lov om supplerende bestemmelser til forordningen har været i høring. Det peger på Styrelsen for Samfundssikkerhed som markedsovervågningsmyndighed. Det var ikke set fremsat ved vores gennemgang. Ejer: teknisk ledelse hos producenter.
EU-forslag uden dato
- Digital Omnibus · Kommissionen har foreslået en samlet forenkling af de digitale regler, herunder én fælles indgang til indberetning af hændelser. Parlamentets procedurefil viste sagen som afventende udvalgsbeslutning. Indtil noget er vedtaget, styrer I efter de gældende frister. Ejer: den, der ejer beredskabsplanen.
- Ny cybersikkerhedsforordning · Kommissionen foreslog 20. januar 2026 en ny forordning, som blandt andet sætter en ramme for sikkerhed i leverandørkæden af IKT, så risici fra leverandører i tredjelande kan håndteres. Ejer: den, der ejer leverandørstyringen.
- Ændringer af NIS2-direktivet · samme dag foreslog Kommissionen målrettede ændringer (COM(2026) 13), bl.a. enklere regler om jurisdiktion, indsamling af oplysninger om ransomware og en ny kategori af små midcap-virksomheder. Ejer: den, der ejer NIS2-arbejdet.
Sådan bruger I kalenderen
Ét møde i kvartalet er som regel nok. Læg det som punkt i årshjulet, og stil tre spørgsmål til hver linje:
- Rammer det os? Svaret skal være ja, nej eller ved ikke, med en begrundelse på én linje.
- Er det vedtaget? Forslag noteres. Vedtagne regler får en ejer og en dato.
- Hvad skal ændres hos os? Det kan være en aftale, en politik, en kontaktliste eller ingenting.
Linjer med svaret ja hører hjemme i jeres kravregister, så lov, kunder og forsikring står ét sted. Skriv kort i referatet, at kalenderen er gennemgået. Så kan ledelsen vise, at den følger med. Hvis en leverandør bruger en ny regel som salgsargument, så find selv reglen, og læs om den er vedtaget.
Det skal I lade være med
- At planlægge efter et forslag som om det var lov · datoer og indhold kan ændre sig.
- At vente med at læse til sidste dag · aftaler med leverandører tager tid at ændre.
- At lade alle linjer ligge hos én person · hver regel skal have en ejer, der kender området.
- At købe noget på grund af en kommende regel · først skal I vide, om den rammer jer.
Det skal I kræve af den eksterne
- ☐ Et kvartalsvist overblik over ændringer med kilde og status.
- ☐ Klar adskillelse af vedtagne regler og forslag.
- ☐ En begrundet vurdering af, om en regel rammer jer.
- ☐ Besked om, hvornår spørgsmålet skal til en advokat.
- ☐ Anbefalinger uden økonomisk interesse i det, der foreslås købt.
Kilder
- Digitaliseringsstyrelsen: AI-omnibus og AI-forordningen art. 113 på AI Act Service Desk: datoer for AI.
- Bekendtgørelse nr. 956 af 3. november 2026: § 16 om ikrafttræden.
- Procedurefil for forordning 2025/2518) og EU-Kommissionens omtale: datoen 2. april 2027.
- Europa-Kommissionen: Cyber Resilience Act og dansk høringsudkast.
- SAMSIK: Hvornår træder CER-loven i kraft?: tidsplanen.
- L 32 om produktansvar: § 18 og bemærkningerne. L 70 om beredskab i vandsektoren: §§ 1 til 3. L 3, AI-loven: §§ 3, 17 og 19.
- Parlamentets procedurefil for Digital Omnibus) og Kommissionen: EU Cybersecurity Act og spørgsmål og svar om cybersikkerhedspakken.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvilke sikkerhedskrav gælder for os? · Hvor ofte skal sikkerhedspolitikkerne gennemgås?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
