Din NIS2-compliancedokumentation
klar på 5 dage

Multifaktorgodkendelse (MFA)

» For hvilke tjenester kræver I MFA? E-mail, VPN, RDP, netværks- og cloudadministration, konti med forhøjede rettigheder. «

E-mailsikkerhed

» Hvilke kontroller anvender I mod e-mail-spoofing (SPF, DKIM, DMARC)? Har I deaktiveret ældre protokoller (IMAP, POP3, usikker SMTP)? «

Beredskabsplan for hændelser

» Hvad er jeres beredskabsplan for hændelser, og inden for hvilken frist ville I underrette os om en cybersikkerhedshændelse? «

Underleverandører og forsyningskæde

» Benytter I underleverandører i fjerde led? Vil I acceptere kontraktbestemmelser, der pålægger NIS2-compliance (kontroller, underretning om brud, ret til audit)? «

Backup og kontinuitet

» Tages der backup? Testes integriteten og genoprettelsesprocedurerne mindst én gang om året? «

Sikkerhedsledelse

» Bygger jeres informationssikkerhedspolitik på et anerkendt referencegrundlag (NIST, ISO 27001)? «

Hvem er omfattet?

Direktivet retter sig mod »mellemstore« eller »store« virksomheder (i EU-retlig forstand), der er aktive i en række sektorer, der anses for kritiske: på den ene side energi, transport, sundhed, banker, vand, digitalt, offentlig forvaltning; på den anden side post, affald, kemi, fødevarer, fremstilling, forskning. En medlemsstat kan også omfatte mindre strukturer, hvis de spiller en nøglerolle.

Hvad NIS2 reelt pålægger dig

Kort sagt: at indføre »proportionale« sikkerhedsforanstaltninger, at kunne identificere sine risici, at beskytte sine data, at opdage et angreb, at reagere på det og at genstarte bagefter. Hertil kommer fysisk sikring af lokaler, adgangskontrol og styring af tilladelser samt kontrol med sikkerheden hos sine tjenesteydere og leverandører.

Hvis uheldet er ude, en præcis tidsplan

Hvis en »væsentlig« hændelse indtræffer, skal myndigheden underrettes i tre trin: en tidlig varsling inden for 24 timer, en mere detaljeret underretning inden for 72 timer og derefter en endelig rapport inden for en måned. De berørte kunder skal også uden unødigt ophold informeres om de foranstaltninger, de selv skal træffe.

Sanktionerne, uden dramatik

Bødeloftet er fastsat i direktivet: op til 10 mio. € eller 2 % af den globale omsætning (det højeste beløb) for »væsentlige« enheder; op til 7 mio. € eller 1,4 % af den globale omsætning for »vigtige« enheder. Det er lovbestemte lofter, ikke en automatisk regning, og bøden kommer først efter en trappe af korrigerende foranstaltninger - se detaljerne længere nede.

Datoer at huske

Direktivet har været i kraft siden 16. januar 2023. Hver medlemsstat skulle senest den 17. oktober 2024 have gennemført sine forpligtelser i sin nationale lovgivning, med faktisk anvendelse fra den 18. oktober 2024, den dato, hvor den tidligere NIS1-tekst blev ophævet.

I Frankrig: hvem der leder arbejdet

ANSSI er den udpegede myndighed, der skal støtte NIS2-compliance. Den har udgivet et »Référentiel Cyber France« (ReCyF, tilgængeligt siden 17. marts 2026) og tilbyder en platform »MonEspaceNIS2« samt en »ClubSSI« for at hjælpe virksomhederne med at finde rundt.

Hvad der allerede sker hos vores naboer

I Tyskland oplyser myndigheden BSI, at den lovbestemte frist for registrering af de omfattede virksomheder allerede er overskredet: dem, der ikke har gjort det endnu, skal gøre det uden at vente. Et konkret tegn på, at den europæiske bevægelse allerede er i gang, langt ud over teksterne.

En forenkling er under overvejelse

Europa-Kommissionen har i 2026 fremlagt et forslag (»omnibuspakke«) om at lette NIS2-compliance, især for de mindste strukturer: omkring 28.700 virksomheder ville blive berørt af denne lettelse, heraf 6.200 mikro- og små virksomheder.

En privat klinik eller et analyselaboratorium

Hører under sektoren »Sundhed« i bilag I, så snart der er tale om en sundhedsinstitution i EU-retlig forstand, hvis den overskrider tærsklen for mellemstor størrelse.

En bilunderleverandør eller en maskinproducent

Falder ind under sektoren »Fremstillingsindustri« i bilag II (køretøjer, elektrisk udstyr, maskiner, elektronik) ud over størrelsestærsklen.

En cloududbyder eller et it-driftsselskab (MSP/MSSP)

Hører under »Digital infrastruktur« eller »Forvaltning af it-tjenester« i bilag I: omfattet fra mellemstor størrelse (vigtig enhed), væsentlig enhed hvis den er stor. Eneste størrelsesundtagelse: hvis den også er kvalificeret udbyder af tillidstjenester, topdomæneregister eller DNS-tjenesteudbyder.

En kommune eller en regional offentlig institution

Hører under sektoren »Offentlig forvaltning« i bilag I, hvis medlemsstaten udpeger den, navnlig når et nedbrud af dens tjenester ville have en væsentlig indvirkning på kritiske samfundsmæssige eller økonomiske aktiviteter.

En fødevareforarbejdende virksomhed eller en grossist

Hører under »Produktion, forarbejdning og distribution af fødevarer« i bilag II, når den udøver grossistvirksomhed eller industriel produktion/ forarbejdning.

En virksomhed »uden for de 18 sektorer«, men leverandør til en omfattet enhed

Er ikke direkte omfattet af NIS2, men kan blive trukket ind via kontrakt: se afsnittet »Ringvirkningen« tidligere på denne side.

Sp. Hvad er NIS2-direktivet, i én sætning?

Det er den europæiske tekst, der siden 18. oktober 2024 har afløst den tidligere lov fra 2016 om cybersikkerhed: Europa-Kommissionen beskriver den som en tekst, der »hæver EU's fælles ambitionsniveau inden for cybersikkerhed gennem et bredere anvendelsesområde, klarere regler og styrkede tilsynsværktøjer«.

Sp. Jeg er en SMV, er jeg virkelig omfattet af størrelsestærsklerne?

Teksten retter sig først og fremmest mod »mellemstore« eller »store« virksomheder i EU-retlig forstand, et præcist retligt kriterium, der henviser til henstilling 2003/361/EF (i praksis: fra 50 ansatte, eller over 10 mio. EUR i omsætning og balance samtidig), aktive i en af de 18 opførte sektorer. Under dette er du i princippet ikke direkte omfattet, medmindre din stat inddrager mindre strukturer, der anses for væsentlige, eller du leverer til en enhed, der er det (ringvirkningen, se tidligere på denne side).

Sp. Kan jeg som direktør holdes personligt ansvarlig?

Ja, og det er tekstens mindst kendte punkt: direktivets officielle juridiske resumé præciserer, at ledelsesorganet skal godkende foranstaltningerne til styring af risici og føre tilsyn med deres gennemførelse, og at det kan holdes ansvarligt i tilfælde af tilsidesættelse. Cybersikkerhed er altså ikke kun et it-emne: det er et ledelsesspørgsmål, der rækker helt op til direktøren.

Sp. Hvordan ved jeg konkret, om min virksomhed skal registrere sig?

Hver medlemsstat skal føre en officiel liste over væsentlige og vigtige enheder, der revideres hvert andet år (første europæiske frist: 17. april 2025). I Frankrig stiller ANSSI et gratis onlineværktøj til selvvurdering til rådighed, »MonEspaceNIS2«, som direkte besvarer spørgsmålet »er jeg omfattet?«.

Sp. Er Frankrig bagud? Hvad ændrer det for mig i dag?

Ja: den franske gennemførelseslov er stadig ikke offentliggjort, langt ud over den europæiske frist. I juli 2026 har Europa-Kommissionen i øvrigt indbragt Frankrig for EU-Domstolen for ikke at have meddelt sine gennemførelsesforanstaltninger (se den detaljerede kalender ovenfor). Konkret: ingen »fransk NIS2«-sanktion er endnu mulig, så længe dekretet ikke er udkommet, men den dag det udkommer, har virksomheder, der allerede er klar, intet at indhente.

Sp. Hvad er der reelt ændret i forhold til den tidligere NIS1-lov?

NIS1 (2016) var begrænset til energi, transport, sundhed, finans, vand og digitalt. NIS2 udvider dette anvendelsesområde kraftigt: nu kommer der elektronisk kommunikation til forbrugere, sociale netværk og digitale platforme, affaldshåndtering, fremstilling af kritiske produkter, posttjenester og offentlig forvaltning. Mange virksomheder, der hidtil lå uden for radaren, kommer nu ind under anvendelsesområdet.

Sp. Er der planlagt en lettelse for de små strukturer?

Ja, under overvejelse: Europa-Kommissionen har i 2026 fremlagt en forenklingspakke for at mindske den administrative byrde i forbindelse med NIS2, navnlig for de mindste enheder. Omkring 28.700 virksomheder ville blive berørt af denne lettelse, heraf 6.200 mikro- og små virksomheder. Teksten er endnu ikke endeligt vedtaget: bør følges, uden at vente med at forberede sig.

Maksimal administrativ bøde: mindst 10.000.000 EUR ELLER mindst 2 % af den globale omsætning i det foregående regnskabsår - det er det højeste af de to beløb, der finder anvendelse.

Maksimal administrativ bøde: mindst 7.000.000 EUR ELLER mindst 1,4 % af den globale omsætning i det foregående regnskabsår - samme logik, det højeste beløb lægges til grund.

Hvem sanktionerer?

Hver medlemsstat udpeger en eller flere »kompetente myndigheder«, der har ansvaret for tilsyn med og håndhævelse af direktivet. I Frankrig er denne rolle tillagt ANSSI.

Det yderste middel - kun væsentlige enheder

Hvis de foregående foranstaltninger forbliver uden virkning, kan myndigheden anmode en domstol om midlertidigt at suspendere en certificering eller en tilladelse, ja endda midlertidigt at fjerne en leder (administrerende direktør eller juridisk repræsentant) fra sine funktioner, indtil forholdene er bragt i orden. Denne yderste eskalering omfatter KUN væsentlige enheder, ikke vigtige enheder.

Beløbet er ikke automatisk

Loven pålægger at tage hensyn til, fra sag til sag: overtrædelsens grovhed og varighed, gentagelse, forvoldt skade, forsæt eller uagtsomhed, foranstaltninger truffet for at begrænse skaden, tilslutning til adfærdskodekser eller certificeringer, graden af samarbejde med myndigheden. To virksomheder i samme situation får ikke automatisk den samme bøde.

Ledelsen, personligt ansvarlig

Teksten fastsætter udtrykkeligt, at de fysiske personer, der leder enheden (administrerende direktør, juridisk repræsentant), kan holdes ansvarlige i tilfælde af tilsidesættelse af deres forpligtelser til at sikre compliance - for væsentlige enheder såvel som for vigtige enheder.

Og hvis det også er et databrud?

Hvis hændelsen også udgør et brud på persondatasikkerheden, skal NIS2-myndigheden straks underrette den kompetente GDPR-myndighed (CNIL i Frankrig). De to ordninger koordineres - det er ikke en automatisk kumulation af sanktioner, men en gensidig information mellem myndigheder.

Eksempler med tal? Ikke endnu, helt ærligt

På tidspunktet for denne overvågning er der ikke fundet nogen offentliggjort NIS2-sanktionsafgørelse i en officiel kilde. Ordningen afhænger af hver medlemsstats gennemførelseslov, som er ved at blive færdiggjort. Et tegn på, at bevægelsen er i gang: i Tyskland oplyser myndigheden BSI, at den lovbestemte frist for registrering af de omfattede enheder allerede er overskredet.