NIS2: er din virksomhed omfattet, og hvad skal I gøre?

Kort fortalt: NIS2-loven (lov nr. 434 af 6. maj 2025) trådte i kraft 1. juli 2025. Den gælder virksomheder i bestemte sektorer, som enten har mindst 50 ansatte eller over 10 mio. euro i både årlig omsætning og årlig balance, og enkelte typer uanset størrelse. Omfattede virksomheder skal registrere sig, have cybersikkerhedsforanstaltninger, som ledelsen har godkendt, og sende en første varsling om væsentlige hændelser inden for 24 timer.

Hvis du er endt her, har du måske fået et spørgeskema fra en stor kunde om jeres it-sikkerhed, eller nogen i ledelsen har hørt, at NIS2 rammer alle. Det gør den ikke. Men den rammer flere, end mange tror, og den kan også mærkes hos virksomheder, der ikke selv er omfattet. Her er en nøgtern gennemgang af, hvem loven gælder for, og hvad den kræver.

Hvad er NIS2, og hvad gør det?

NIS2 er EU's direktiv 2022/2555 om et højt fælles cybersikkerhedsniveau. I Danmark er det gennemført med lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven). Energi-, tele- og finanssektoren har fået deres egen lovgivning.

Loven kræver i paragraf 6, at omfattede virksomheder træffer passende tekniske, operationelle og organisatoriske foranstaltninger. Som minimum skal de dække:

• Politikker for risikoanalyse og informationssikkerhed
• Håndtering af hændelser
• Driftskontinuitet, herunder backup, reetablering og krisestyring
• Sikkerhed i forsyningskæden, altså forholdet til jeres leverandører
• Sikkerhed ved indkøb, udvikling og vedligehold af systemer, herunder håndtering af sårbarheder
• Vurdering af, om foranstaltningerne virker
• Grundlæggende cyberhygiejne og uddannelse
• Kryptografi og kryptering, hvor det er relevant
• Personalesikkerhed, adgangskontrol og styr på aktiver
• Multifaktorgodkendelse og sikret kommunikation, hvor det er relevant

Paragraf 7 lægger ansvaret hos ledelsen. Ledelsen skal godkende foranstaltningerne, føre tilsyn med, at de bliver gennemført, og selv deltage i relevante kurser om cybersikkerhedsrisici.

Hvornår har du brug for at forholde dig til NIS2?

Når to ting er sande på samme tid: I arbejder i en sektor, der står i lovens bilag 1 eller 2, og I er store nok. Tjek det grundigt, hvis:

• I fx producerer fødevarer industrielt, kemikalier, maskiner, elektronik, elektrisk udstyr, køretøjer eller medicinsk udstyr.
• I leverer cloud, datacentertjenester eller administrerede it- og sikkerhedstjenester til andre virksomheder.
• I arbejder med transport, sundhed, drikkevand, spildevand, affald eller post og kurer.
• I har 50 årsværk eller derover, eller over 10 mio. euro i både omsætning og balance.

Selv hvis I ikke er omfattet, kan I mærke loven. Styrelsen for Samfundssikkerhed (SAMSIK) skriver, at leverandører til omfattede virksomheder kan få stillet krav, fordi kunderne skal vurdere sikkerheden i deres forsyningskæde.

Væsentlig eller vigtig enhed?

Hvem er omfattet?

SAMSIK peger på tre kriterier: virksomheden hører til en omfattet sektor, den har en vis størrelse, eller den er omfattet uanset størrelse.

Sektorerne står i lovens to bilag. Bilag 1 dækker blandt andet transport, sundhed, drikkevand, spildevand, digital infrastruktur, administrerede it-tjenester mellem virksomheder og offentlig forvaltning. Energi, tele og finans står også i direktivet, men er i Danmark reguleret i særskilte love. Bilag 2 dækker blandt andet post og kurer, affaldshåndtering, kemikalier, engros og industriel produktion af fødevarer, dele af fremstillingsindustrien, onlinemarkedspladser og forskning.

Et par detaljer, der ofte overses, fra SAMSIK's vejledning om anvendelsesområdet:

• Størrelsen opgøres for hele virksomheden, ikke kun for den afdeling, der laver den omfattede aktivitet.
• Årsværk regnes efter EU's SMV-definition (henstilling 2003/361/EF), så deltid og sæsonarbejde tæller som brøkdele.
• Ejerskab kan tælle med. Har I partnervirksomheder eller tilknyttede virksomheder, kan deres tal skulle lægges til.
• Man skifter først kategori, når en grænse er over- eller underskredet to regnskabsår i træk, medmindre det skyldes fusion eller opkøb.

Tilsynet ligger hos den myndighed, der har jeres sektor, jf. bekendtgørelse nr. 620 af 2. juni 2025. Fx har SAMSIK fremstilling af elektronik, elektrisk udstyr, maskiner og køretøjer samt kemikalier, Fødevarestyrelsen har fødevarer, Miljøstyrelsen har vand, spildevand og det meste affald, og Digitaliseringsstyrelsen har blandt andet cloud og administrerede it-tjenester.

Hvad skal du konkret gøre?

1. Registrér virksomheden via virk.dk med MitID. Fristen for dem, der var omfattet fra start, var 1. oktober 2025. Bliver I omfattet senere, er fristen som udgangspunkt 2 uger.
2. Indfør foranstaltningerne fra paragraf 6, i et omfang der passer til jeres risiko.
3. Lad ledelsen godkende foranstaltningerne, følge op på dem og tage et relevant kursus.
4. Lav en hændelsesprocedure. En væsentlig hændelse skal meldes med en tidlig varsling senest 24 timer efter, I har fået kendskab til den, en hændelsesunderretning senest efter 72 timer og en endelig rapport senest en måned efter. Indberetningen sker på virk.dk og håndteres af Forsvarets Efterretningstjeneste, som er national CSIRT (Computer Security Incident Response Team).
5. Orientér jeres kunder uden unødigt ophold, hvis en væsentlig hændelse sandsynligvis påvirker de tjenester, I leverer til dem.

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for jer, eller betydelig skade for andre.

Hvad sker der, hvis du ikke gør det?

Paragraf 32 giver bøde for blandt andet manglende foranstaltninger, manglende registrering, manglende indberetning og for ikke at efterkomme myndighedens påbud. Selskaber kan straffes som juridiske personer. Lovteksten nævner ikke et bødebeløb.

Myndighederne kan desuden give advarsler, bindende instrukser og påbud, og de kan pålægge en virksomhed at offentliggøre afgørelser og bødevedtagelser. For væsentlige enheder kan myndigheden, hvis påbud ikke virker, midlertidigt forbyde den administrerende direktør at udøve ledelsesfunktioner, indtil forholdet er bragt i orden.

Hvor passer et AI-lag ind?

NIS2 handler meget om at vide, hvad der sker, og at kunne dokumentere det. Her kan et AI-lag oven på jeres eksisterende systemer hjælpe:

• Sortere alarmer. Gruppere og opsummere advarsler fra logs og overvågning, så den, der har vagten, ser det vigtige først.
• Forberede den tidlige varsling. Samle tidspunkt, berørte systemer og hvad man ved indtil nu i et udkast. Et menneske afgør, om hændelsen er væsentlig, og sender selv.
• Holde aktivlisten opdateret ved at læse fra brugeradministration, indkøb og it-systemer, frem for at nogen vedligeholder et regneark i hånden.
• Gennemgå leverandørsvar. Opsummere spørgeskemaer og dokumentation fra leverandører og pege på, hvad der mangler.
• Samle dokumentation til ledelsens godkendelse og opfølgning.

Det AI ikke kan: gøre jer compliant, afgøre om en hændelse er væsentlig, eller erstatte tekniske sikringer som backup og multifaktorgodkendelse. Husk også, at et AI-værktøj selv er et system og en leverandør, som hører med i jeres risikovurdering. Vil I koble det på flere systemer, er det et integrationsspørgsmål lige så meget som et AI-spørgsmål.

Sådan griber du det an

1. Tag NIS2-tjekket på sikkerdigital.dk for at få en første vurdering af, om I er omfattet.
2. Er I omfattet og ikke registreret, så registrér nu. Fristen er overskredet, og manglende registrering er i sig selv en overtrædelse.
3. Lav en gap-analyse mod de ti punkter i paragraf 6 og prioritér efter risiko.
4. Få ledelsen med: godkendelse, opfølgning og kursus.
5. Øv hændelsesproceduren, så 24-timers fristen kan holdes en fredag aften.
6. Gå leverandørerne igennem, og gør jer klar til selv at svare, hvis I er leverandør til en omfattet kunde.

Hvis I vil have hjælp til at samle overblik og dokumentation på tværs af jeres systemer, kan Agent360 hjælpe med at vælge eller bygge integrationslaget, skriv til os her.

Kilder

• NIS 2-loven, LOV nr. 434 af 06/05/2025 (Retsinformation): https://www.retsinformation.dk/eli/lta/2025/434 (læst 6/10-2026)
• Bekendtgørelse nr. 620 af 02/06/2025 om udpegning af kompetente myndigheder og digital kommunikation omfattet af NIS 2-loven: https://www.retsinformation.dk/eli/lta/2025/620 (læst 6/10-2026)
• Styrelsen for Samfundssikkerhed, NIS 2: https://samsik.dk/nis2/ (læst 6/10-2026)
• Styrelsen for Samfundssikkerhed, Spørgsmål og svar om NIS 2: https://samsik.dk/nis2/faq/ (læst 6/10-2026)
• Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet (pdf): https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-anvendelsesomradet-2025.pdf (læst 6/10-2026)

Ofte stillede spørgsmål

Er min virksomhed omfattet af NIS2?

Kun hvis I både arbejder i en sektor, der står i lovens bilag 1 eller 2, og er store nok. Grænsen er mindst 50 ansatte eller over 10 mio. euro i både årlig omsætning og årlig balance, mens enkelte typer er omfattet uanset størrelse. Størrelsen opgøres for hele virksomheden.

Hvor hurtigt skal en cyberhændelse anmeldes under NIS2?

En væsentlig hændelse skal meldes med en tidlig varsling senest 24 timer efter, I har fået kendskab til den. Derefter følger en hændelsesunderretning senest efter 72 timer og en endelig rapport senest en måned efter. Indberetningen sker på virk.dk.

Kan NIS2 ramme en virksomhed, der ikke selv er omfattet?

Ja, som leverandør. Styrelsen for Samfundssikkerhed skriver, at leverandører til omfattede virksomheder kan få stillet krav, fordi kunderne skal vurdere sikkerheden i deres forsyningskæde. Det kan fx komme som et spørgeskema fra en stor kunde om jeres it-sikkerhed.