NIS2 stiller i dag hårde krav til jeres virksomhed, og ansvaret er rykket fra serverrummet og ind i bestyrelseslokalet. Det er ikke længere et rent teknisk anliggende, for ansvaret for cybersikkerhed ligger nu hos den øverste ledelse. Vi ser ofte, at organisationer undervurderer det skift og kæmper med at koble lovkravene til den daglige drift. Denne guide giver jer overblikket.
Af Partner, Sander Dyrvig
Mange ledere spørger stadig, hvad NIS2 egentlig er. Bag forkortelsen ligger direktivet (EU) 2022/2555, som Europa-Parlamentet vedtog den 10. november 2022, og som trådte i kraft som EU-ret i januar 2023. Det afløser NIS1-direktivet fra 2016 med markante udvidelser, og formålet er at løfte og ensarte cybersikkerheden i EU. Samtidig udvides antallet af omfattede sektorer og virksomheder, men det vigtigste skifte er, at ledelsesansvaret nu er eksplicit.
Ledelsen kan ikke længere delegere ansvaret væk til IT-afdelingen, for sikkerhed er blevet et strategisk fundament for virksomheden. Vi ser ofte en manglende bro mellem lovkrav og virkelighed, og en god implementering kræver, at systemerne understøtter dokumentationskravene. Har I ikke styr på jeres datastrukturer, falder compliance hurtigt fra hinanden, for det handler om at skabe gennemsigtighed i de kritiske processer.
Den danske implementering fik en turbulent start. Loven hedder Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, og Folketinget vedtog den 29. april 2025. Den trådte i kraft den 1. juli 2025, hvilket gjorde den danske stat cirka otte måneder forsinket i forhold til EU-fristen den 17. oktober 2024. Forsinkelsen gav en begrundet udtalelse fra EU-Kommissionen den 7. maj 2025, og der blev ikke indført nogen overgangsperiode.
Kravene har derfor været fuldt gældende siden sommeren 2025, og cirka 6.000 danske virksomheder er direkte omfattet, mod kun omkring 1.000 under det gamle NIS1. Den danske implementering er ikke samlet i én lov, men består af en rammelov suppleret af sektorregler. Der gælder særlige krav for energi, tele og den finansielle sektor, og en virksomhed kan være omfattet af både hovedlov og sektorlov.
Det er vigtigt at kende myndighederne. Den koordinerende myndighed er Styrelsen for Samfundssikkerhed, der hører under Ministeriet for Samfundssikkerhed og Beredskab. Hændelsesindberetninger håndteres af Forsvarets Efterretningstjeneste som national CSIRT, mens det daglige tilsyn føres af de sektoransvarlige myndigheder. Alle omfattede enheder skulle registrere sig på virk.dk senest den 1. oktober 2025, og da fristen er overskredet, er uregistrerede enheder nu i restance.
Loven opdeler organisationerne i væsentlige og vigtige enheder, der begge er underlagt de samme grundlæggende krav. Kravene dækker risikostyring, hændelsesrapportering, ledelsesansvar og leverandørkædesikkerhed, mens forskellen ligger i tilsynsintensiteten. Væsentlige enheder har et proaktivt tilsyn, vigtige enheder et mere reaktivt, og forskellen ses også i bødeloftet, som vi gennemgår nedenfor.
Tærsklen starter generelt ved 50 ansatte, men I er også omfattet ved en omsætning over 10 millioner euro, hvis balancen samtidig overstiger 10 millioner euro. Status som væsentlig enhed rammer typisk ved mere end 250 ansatte, en omsætning over 50 millioner euro og en balance over 43 millioner euro. Visse kritiske aktiviteter er dog omfattet uanset størrelse, for eksempel digital infrastruktur og DNS-tjenester.
De høj-kritiske sektorer omfatter energi, transport, sundhed og drikkevand, mens også spildevand, bankvæsen, finansmarkedsinfrastruktur og offentlig forvaltning er med. Andre kritiske sektorer dækker post, affald, fødevarer og kemikalier. Selv hvis I falder under tærsklen, kan I rammes indirekte, fordi leverandører til omfattede enheder ofte bindes via kontrakter for at sikre den samlede forsyningskæde. Vi oplever dagligt, at mindre virksomheder presses af deres store kunders krav.
For at opnå compliance skal I omsætte loven til handling. Kravene er bygget op om fem sikkerhedstemaer, og hvert tema kræver dokumentation og organisatorisk forankring. Det er ikke nok at indkøbe et nyt IT-system, for sikkerheden skal bygges ind i jeres kerneprocesser og adfærd. Vi ser ofte, at virksomheder glemmer at opdatere arbejdsgangene, og herunder gennemgår vi de fem hovedtemaer.
Fundamentet er en systematisk og dokumenteret risikostyring, hvor foranstaltningerne skal være risikobaserede og stå mål med truslen. Det dækker både tekniske systemer og organisatoriske procedurer, og foranstaltningerne skal testes og opdateres løbende. En statisk sikkerhedspolitik i en mappe er ikke nok, og ledelsen skal forholde sig til risikoen mindst én gang om året.
Loven stiller præcise krav til hastigheden ved sikkerhedshændelser, og rapporteringen følger en trinvis model. Den første varsling skal ske inden for 24 timer, og derefter følger en underretning inden for 72 timer. En endelig rapport skal afleveres senest en måned efter hændelsen, og indberetningerne foretages digitalt via virk.dk.
Et af de mest debatterede emner er det udvidede ledelsesansvar, hvor direktion og bestyrelse skal godkende og overvåge sikkerhedsforanstaltningerne. Ledelsen skal selv gennemføre uddannelse i cybersikkerhed, og ansvaret er personligt. Det kan ikke uddelegeres til en IT-chef, og ved alvorlige brud retter myndighederne blikket mod ledelsen.
I skal have overblik over sikkerheden hos jeres vigtigste leverandører, hvilket kræver en klassificering af leverandørerne efter vigtighed. Der skal stilles kontraktuelle krav om informationssikkerhed, og I skal også sikre jer auditrettigheder over for kritiske partnere. Det kræver løbende monitorering at sikre, at aftalerne holdes, og mange virksomheder mangler et samlet system til at styre leverandørdata.
En hændelse må ikke lægge forretningen ned i længere tid, og derfor skal I have dokumenterede beredskabs- og backup-planer klar. Planerne skal omfatte procedurer for genetablering af driften, og det er et lovkrav, at de testes regelmæssigt. Resultaterne skal dokumenteres og bruges til at forbedre procedurerne, for uden en testet plan er jeres backup lidt værd.
Konsekvenserne ved at ignorere loven er blevet alvorlige. For væsentlige enheder kan bøden nå 10 millioner euro eller 2 procent af årsomsætningen, alt efter hvad der er højest. For vigtige enheder er loftet 7 millioner euro, og her er den alternative sats 1,4 procent af omsætningen. Beløbsgrænserne understreger alvoren.
Bøder er dog ikke det eneste værktøj, for tilsynsmyndighederne kan også udstede bindende påbud og kræve fuld adgang til jeres compliance-dokumentation. I yderste konsekvens kan ledelsesmedlemmer holdes personligt ansvarlige, og myndighederne kan midlertidigt suspendere ledelsesmedlemmer, der negligerer ansvaret. Presset tvinger bestyrelser til at stille nye krav til direktionen, og sikkerhed er nu en del af den månedlige ledelsesrapportering.
Compliance kræver en struktureret indsats fra hele organisationen, og vi anbefaler en fast, faset tilgang. Første skridt er en ærlig afklaring af jeres modenhed, hvor I kortlægger, hvilke systemer og processer der er omfattet. Dernæst etablerer I en governance med klare roller og ansvar, for mange projekter fejler, fordi kompetencerne mangler. En uvildig forretningsanalyse afdækker ofte sikkerhedshuller i jeres digitale fundament.
Tredje skridt er at integrere sikkerheden i jeres forretningsgange, og dokumentationen skal automatiseres mest muligt. Manuel kontrol af adgange fører til menneskelige fejl, så jeres systemer skal generere de lovpligtige auditspor af sig selv. En klassisk faldgrube er at behandle compliance som et engangsprojekt, men kontrollen skal være en fast del af jeres årshjul, og kun gennem vedholdende opfølgning kan I bevise jeres efterlevelse.
Vi anskuer komplekse lovkrav gennem stærk data management, for evnen til at bevise compliance ligger ofte i ERP-systemet. Et velkonfigureret ERP-system er nerven i jeres adgangsstyring, og det er her, I sikrer, at kun de rette har adgang til kritiske data. Loven kræver, at I har dokumenteret kontrol over adgange og rettigheder, og flyder jeres masterdata, kan I ikke styre leverandørkæden. Korrekte leverandørdata er derfor et fundament for streng leverandørstyring.
Uden strukturerede master data ved I ikke, hvem jeres kritiske leverandører er, mens I gennem en ERP-transformation bygger sikkerheden ind i systemets kerne. Et korrekt opsat ERP-system danner de digitale auditspor, revisorer og myndigheder efterspørger, så I slipper for at samle dokumentation manuelt i regneark op til et tilsyn. En stærk datadisciplin er den nemmeste vej til god nattesøvn, og teknologien skal løfte byrden, så medarbejderne kan fokusere på kerneforretningen.
Regelsættet står ikke alene, og sammenlignet med det gamle direktiv er kravene mere dybdegående. Virksomheder i finanssektoren møder også DORA-forordningen, der gælder den finansielle sektor og overlapper med NIS2 på mange punkter, så vores råd er at arbejde under én samlet kontrolramme. Der er desuden et naturligt overlap med GDPR, fordi principperne for risikostyring og håndtering af brud ligner persondatarettens.
Mange virksomheder læner sig op ad ISO 27001-standarden, hvis 2022-version dækker mange af de samme kontrolområder, og myndighederne anviser standarden som en vej til compliance. Et andet værktøj er det danske D-mærke for IT-sikkerhed, der giver et struktureret udgangspunkt for sikkerhedsarbejdet. Men mærket er ikke i sig selv juridisk tilstrækkeligt og kan ikke stå alene som dokumentation for jeres efterlevelse.
NIS2 står for Network and Information Security Directive 2. Det er et EU-direktiv, der skal styrke cybersikkerheden på tværs af Europa. Det stiller krav til virksomheders risikostyring og overvågning.
Loven rammer mellemstore og store organisationer i samfundskritiske sektorer. I er som udgangspunkt omfattet ved mindst 50 ansatte eller en omsætning over 10 millioner euro. Cirka 6.000 danske virksomheder er direkte omfattet.
For væsentlige enheder kan bøden nå 10 millioner euro eller 2 procent af omsætningen. Det højeste beløb gælder. For vigtige enheder er loftet 7 millioner euro eller 1,4 procent.
De tre regelsæt bygger på risikostyring og ledelsesforankring. DORA gælder den finansielle sektor, mens NIS2 dækker bredere. En samlet kontrolramme mindsker dobbeltarbejdet.
NIS2 handler om styring, ansvar og dokumentation, ikke kun om teknik. Som uvildige rådgivere hjælper vi jer med at oversætte kravene til en konkret, prioriteret handlingsplan. I vores rådgivning i ERP- og IT-strategi ser vi sikkerhed i sammenhæng med jeres systemer og processer. Vi rådgiver ud fra praksis, ikke ud fra et produkt.
Sander Dyrvig
Med erfaring fra projektledelse af større transformationsprojekter i +10 år, varetager Sander typisk program- og projektledelsen af større og komplekse projekter.
Inden skiftet til Cornerstones varetog Sander forskellige lederstillinger indenfor forretningsudvikling for VKR Gruppen og Bestseller.
