En virksomhed i en af lovens sektorer, der nærmer sig 50 ansatte eller grænserne for omsætning og balance, kan bruge tiden før grænsen til at bygge det op, som ledelsen alligevel skal godkende og føre tilsyn med. Det drejer sig om ledelsens egen uddannelse, en risikovurdering, en sikkerhedspolitik, et beredskab, der kan underrette inden for fristerne, og et overblik over leverandørerne. Arbejdet tager tid, og det er lettere at gennemføre i et roligt tempo end i ugerne efter, at virksomheden er blevet omfattet. Om virksomheden i det hele taget ligger i en af sektorerne, og hvordan det afgøres, kan I læse om under væsentlige og vigtige enheder. Her handler det om ledelsens forberedelse.
Grænserne, som loven beskriver dem
Efter NIS2-lovens § 5 er en enhed i en af lovens sektorer en vigtig enhed, hvis den beskæftiger 50 personer eller derover, eller hvis den har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro. Grænserne for væsentlige enheder står i § 4 og ligger højere. Visse typer enheder er omfattet uanset størrelse.
Direktivet henviser til Kommissionens henstilling 2003/361/EF om små og mellemstore virksomheder, og henstillingen indeholder flere regler, som påvirker optællingen. Antallet af beskæftigede opgøres i årsværk, så deltidsansatte og sæsonansatte tæller som brøkdele. Tallene tages fra det seneste afsluttede regnskabsår. Og data for partnervirksomheder og tilknyttede virksomheder lægges som udgangspunkt sammen med virksomhedens egne. Hvordan reglerne anvendes på netop jeres virksomhed, hører til vurderingen af omfattethed og bør afklares med henvisning til lovteksten.
Hvem holder øje med tallene?
Det første, ledelsen kan beslutte, er, hvem der følger med i tallene. Økonomichefen kender omsætningen og balancen, og HR eller lønbogholderiet kender antallet af årsværk. Efter hver regnskabsafslutning kan de samme to personer melde tilbage til direktionen, hvor tæt virksomheden er på grænserne.
Opkøb ændrer billedet hurtigt, fordi tilknyttede virksomheder tæller med. Det samme kan en ny ejer, der har flertallet af stemmerne i flere selskaber. Beslutninger om ejerskab bør derfor have et punkt om NIS2-status, så spørgsmålet ikke dukker op bagefter. Det samme gælder, hvis virksomheden begynder at levere nye typer ydelser, fordi sektoren kan ændre sig med forretningen.
Når virksomheden bliver omfattet, skal den registrere sig hos den kompetente myndighed senest to uger efter, jf. § 10, stk. 2. Den frist er kort, og registreringen er kun begyndelsen. Hvad der følger efter, står i når registreringen er sket.
Det, der tager længst tid
Nogle dele af arbejdet kan klares på en uge. Andre kræver, at ledelsen, medarbejderne og leverandørerne vænner sig til en ny måde at arbejde på. Det er de sidste, der giver mest mening at begynde på i god tid:
- Ledelsens uddannelse. Medlemmerne af ledelsesorganet skal efter § 7, stk. 2, deltage i relevante kurser. Et kursus i god tid giver ledelsen sprog for de beslutninger, der kommer. Se NIS2-uddannelse af ledelsen.
- Risikovurderingen. Den første vurdering er den tungeste, fordi systemer, data og leverandører skal kortlægges. Gentagelserne går hurtigere. Se en brugbar risikovurdering.
- Leverandørkravene. Aftaler genforhandles typisk ved fornyelse. Starter I tidligt, kan kravene skrives ind, når aftalerne alligevel er oppe.
- Beredskabet. Lovens frister for underretning om væsentlige hændelser, hvor den første varsling skal sendes inden for 24 timer, kræver, at roller og kontaktveje er aftalt på forhånd.
Det, der kan vente lidt
Andre dele kan med fordel vente, til grundlaget er på plads. Detaljerede procedurer for hvert område giver mere mening, når risikovurderingen har vist, hvor indsatsen skal ligge. Investeringer i nye værktøjer bør også vente på vurderingen. En plan, der begynder med indkøb, risikerer at løse de forkerte problemer. Det samme gælder certificering, som kan være et svar på kundekrav, men som loven ikke stiller som krav til virksomheden.
En politik kan skrives tidligt, men den bør være kort og blive revideret, når virksomheden er omfattet. Hvad den skal indeholde, er beskrevet i Informationssikkerhedspolitik.
Tænk på en produktionsvirksomhed med 42 årsværk, der leverer komponenter til fødevareindustrien og regner med at passere 50 inden for to år. Direktionen beslutter at følge årsværkene ved hvert halvårsregnskab, sender bestyrelse og direktion på et kursus inden for et år og bestiller en første risikovurdering. Leverandøraftalerne får sikkerhedskrav, efterhånden som de fornyes. Da virksomheden et par år senere bliver omfattet, er det meste af grundlaget lagt, og registreringen kan ske inden for fristen.
Hvem leder forberedelsen?
Forberedelsen kræver en, der kan oversætte lovens krav til en plan, som passer til virksomhedens størrelse, og som kan holde tempoet over et eller to år. I mange virksomheder af denne størrelse er der ingen intern sikkerhedsansvarlig, og IT-leverandøren har sin egen leverance at tænke på. En ekstern CISO på en lille fast timeramme kan lede forberedelsen og overdrage dele af den til interne medarbejdere undervejs. Ledelsens pligt til at godkende og føre tilsyn kan ikke overdrages, se hvad ledelsen kan uddelegere.
Det skal I lade være med
- At vente, til virksomheden er omfattet · to ugers registreringsfrist giver ingen tid til forberedelse.
- At tælle hoveder i stedet for årsværk · henstillingen opgør beskæftigede i årsværk.
- At glemme ejere og datterselskaber · tilknyttede virksomheder kan tælle med.
- At begynde med indkøb af værktøjer · risikovurderingen skal vise, hvad der mangler.
- At skrive en lang politik, ingen følger · den skal kunne revideres, når kravene gælder.
Det skal I kræve af den eksterne
- ☐ En plan for forberedelsen med de dele, der tager længst tid, først.
- ☐ Henvisninger til lovteksten og henstillingen frem for andres fortolkninger.
- ☐ En fast rapportering til ledelsen om, hvor langt forberedelsen er.
- ☐ Et forslag til, hvem der internt kan overtage dele af arbejdet.
- ☐ Klare oplysninger om eventuelle bindinger til leverandører af værktøjer eller certificering.
Næste møde i direktionen
Bed økonomichefen om antallet af årsværk, omsætningen og balancen for de seneste to regnskabsår, og læg dem ved siden af grænserne i loven. Hvad ledelsen i øvrigt skal tage stilling til, står under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 4 og § 5 om størrelseskriterier, § 7, stk. 2, om kurser, § 10, stk. 2, om registrering og § 13 om underretning.
- Direktiv (EU) 2022/2555 (eur-lex): art. 2, stk. 1, om anvendelsesområdet og henvisningen til henstillingen.
- Kommissionens henstilling 2003/361/EF (eur-lex): bilagets art. 2 til 6 om tærskler, årsværk, regnskabsår og tilknyttede virksomheder.
Senest gennemgået: november 2026.
Næste skridt
- Hvor lang tid tager det at få NIS2-foranstaltningerne på plads?
- Hvem er ledelsesorganet efter NIS2-loven?
Læs også: Kræver NIS2, at vi har en CISO? · Opkøbt virksomhed i sikkerhedsstyringen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
