NIS2 i 2026: trenden danske organisationer skal forstå

NIS2 er EU’s bredere og mere styringsorienterede ramme for cybersikkerhed, som gør reglerne mere operationelle end det oprindelige NIS-direktiv. For danske organisationer betyder skiftet især, at scope, hændelsesrapportering, ledelsesansvar og leverandørstyring skal behandles som en samlet compliance- og sikkerhedsopgave.

NIS er EU’s første direktiv om sikkerhed i net- og informationssystemer fra 2016, mens NIS2 er afløseren i Direktiv (EU) 2022/2555. NIS2 blev vedtaget for at lukke huller i den første ramme, skabe mere ensartede krav på tværs af medlemsstater og løfte sikkerheden i sektorer, der er afgørende for samfundets funktion og økonomi.

Fra NIS til NIS2: hvad ændrer sig grundlæggende?

Det oprindelige NIS-direktiv fokuserede på operatører af væsentlige tjenester og visse digitale tjenesteudbydere. Det gav medlemsstaterne relativt stort spillerum til at definere, hvilke organisationer der var omfattet, og hvordan kravene skulle håndhæves. Resultatet blev en vis variation på tværs af EU, både i scope, tilsyn og praksis for hændelsesrapportering.

NIS2 udvider rammen på flere måder. Direktivet omfatter flere sektorer, indfører kategorierne væsentlige og vigtige enheder, præciserer ledelsens ansvar og stiller mere detaljerede krav til risikostyring, hændelseshåndtering, forretningskontinuitet, leverandørsikkerhed og rapportering. Den praktiske forskel er, at NIS2 i højere grad kræver dokumenterbare processer frem for enkeltstående tekniske sikkerhedsforanstaltninger.

Hvem er omfattet: væsentlige og vigtige enheder

En af de største ændringer er den måde, NIS2 afgrænser omfattede organisationer på. Hvor NIS i højere grad byggede på national udpegning af operatører, anvender NIS2 en bredere sektortilgang kombineret med størrelseskriterier. Det gør scope-vurderingen mere systematisk, men også mere omfattende for organisationer, der tidligere lå uden for NIS.

NIS2 skelner mellem væsentlige og vigtige enheder. Væsentlige enheder findes typisk i de mest kritiske sektorer, mens vigtige enheder omfatter andre sektorer, hvor cyberhændelser stadig kan få betydelige konsekvenser. Kategoriseringen har betydning for tilsynet: væsentlige enheder kan være underlagt proaktivt tilsyn, mens vigtige enheder normalt mødes af reaktivt tilsyn, eksempelvis efter en hændelse eller mistanke om manglende efterlevelse.

Størrelsesgrænse-reglen er et punkt, mange scope-vurderinger undervurderer. Som hovedregel omfattes mellemstore og store organisationer i de sektorer, direktivet peger på. Særligt kritiske mindre enheder kan dog også være omfattet, afhængigt af deres funktion, sektor og nationale gennemførelse. En praktisk vurdering bør derfor begynde med sektor, fortsætte til størrelse, derefter se på kritikalitet og til sidst vurdere grænseoverskridende forhold eller afhængigheder.

Danske organisationer bør ikke nøjes med at spørge, om de var omfattet af NIS. Spørgsmålet under NIS2 er bredere: leverer organisationen en tjeneste i en udpeget sektor, opfylder den størrelseskriterierne, og kan et driftsstop eller datatab påvirke samfundsvigtige funktioner, kunder, forsyningskæder eller andre medlemsstater? Den vurdering bør dokumenteres, også når konklusionen er, at organisationen ikke er omfattet.

Rapporteringsfrister: 24 timer, 72 timer og én måned

NIS2 gør hændelsesrapportering mere faseopdelt. Direktivet beskriver i artikel 23 et forløb, hvor en organisation først giver en tidlig varsling uden unødig forsinkelse og senest inden for 24 timer efter at være blevet bekendt med en væsentlig hændelse. Derefter følger en hændelsesmelding senest inden for 72 timer, og en slutrapport skal som udgangspunkt afleveres senest én måned efter hændelsesmeldingen.

De tre frister har forskellige formål. Den tidlige varsling skal give myndighederne hurtig viden om, at noget alvorligt kan være sket, herunder om hændelsen mistænkes for at være ulovlig eller ondsindet. Hændelsesmeldingen skal give mere kvalificeret information om hændelsens alvor, indikatorer og foreløbige konsekvenser. Slutrapporten skal samle årsag, håndtering, konsekvenser og afhjælpende foranstaltninger.

Et praktisk eksempel viser forskellen. Hvis en driftskritisk leverandørportal kompromitteres mandag morgen, og organisationen bliver bekendt med, at hændelsen kan påvirke levering af en væsentlig tjeneste, bør den interne proces straks afklare, om 24-timers varslingen udløses. Inden 72 timer bør SOC, IT-drift, juridisk funktion, kommunikation og ledelse have bidraget til en mere præcis hændelsesmelding. Den efterfølgende måned bruges ikke kun på teknisk oprydning, men også på årsagsanalyse, dokumentation af beslutninger og forbedringer i kontroller.

Fristerne bør derfor bygges ind i organisationens SOC- og ITSM-processer, ikke håndteres som en manuel compliance-opgave ved siden af incident response. Det kræver en klar RACI, definerede eskaleringspunkter, skabeloner til myndighedsrapportering og øvelser, hvor tidspres indgår. Hvis organisationen først begynder at diskutere roller og godkendelser under selve hændelsen, bliver 24-timersfristen vanskelig at overholde.

Ledelsesansvar, governance og dokumentation

NIS2 flytter cybersikkerhed tættere på ledelsesbordet. Artikel 20 fastlægger, at ledelsesorganer skal godkende risikostyringsforanstaltninger og føre tilsyn med gennemførelsen. Det betyder, at cybersikkerhed under NIS2 ikke alene kan delegeres til IT-afdelingen; ledelsen skal kunne vise, at den har forstået risici, prioriteret ressourcer og godkendt relevante politikker.

I praksis bliver governance-beviser vigtige. Det kan være godkendte sikkerhedspolitikker, dokumenterede risikovurderinger, beslutningsreferater, kontrolkataloger, leverandørkrav, beredskabsplaner og øvelsesrapporter. Mange organisationer har tekniske kontroller på plads, men mangler sporbarheden fra krav til politik, risiko, kontrol, ejer, test og ledelsesrapportering.

Et almindeligt hul i NIS2-forberedelsen er at fokusere på værktøjer før styring. Manglende 24/72/én måneds-proces, uklar ansvarsfordeling, utilstrækkelig risikovurdering, manglende ledelsesgodkendte politikker og fravær af standardkrav til leverandører skaber problemer ved tilsyn, selv når de tekniske miljøer er relativt modne. Tabletop-øvelser er en enkel måde at teste, om governance, teknik og kommunikation faktisk hænger sammen.

Forsyningskæder og overlap med andre regler

NIS2 lægger større vægt på leverandørrisiko end NIS. Det skyldes, at cyberhændelser ofte bevæger sig gennem softwareleverandører, managed service providers, cloudmiljøer, databehandlere eller andre driftskritiske tredjeparter. Organisationer bør derfor standardisere minimumskrav til leverandører, sikkerhedsbilag, due diligence, rapporteringsforpligtelser og ret til opfølgning.

Leverandørstyring bør ikke begrænses til indkøbstidspunktet. Kritiske leverandører skal vurderes løbende, især hvis de understøtter tjenester, som er centrale for organisationens NIS2-scope. Kontrakter bør afklare, hvordan hændelsesinformation deles hurtigt nok til, at den omfattede organisation selv kan overholde sine 24- og 72-timersfrister.

Nogle sektorer vil samtidig være berørt af andre regelsæt, eksempelvis DORA i finanssektoren eller CER-regler om kritiske enheders modstandsdygtighed. Her giver det sjældent mening at bygge separate kontrolmiljøer for hvert regelsæt. En mere holdbar tilgang er at kortlægge kontroller én gang og krydsreferere dem til de relevante krav, så risikostyring, beredskab, leverandørkontrol og rapportering kan genbruges på tværs.

Dansk kontekst: implementering og officielle kilder

NIS2 er et EU-direktiv, hvilket betyder, at kravene skal gennemføres i national ret. Danske organisationer bør derfor læse direktivet sammen med dansk lovgivning, myndighedsvejledning og sektorspecifik information. EU’s direktivtekst findes i EUR-Lex som Direktiv (EU) 2022/2555, ENISA samler europæisk vejledning og baggrund om NIS2, og Center for Cybersikkerhed udgiver dansk vejledning om cybertrusler, risikostyring og relevante sikkerhedstiltag.

Det er vigtigt ikke at overføre britiske frister, bødeniveauer eller myndighedsroller til en dansk vurdering. NIS2 fastlægger EU-rammen, mens den konkrete håndhævelse, myndighedsstruktur og nationale procedurer afhænger af dansk gennemførelse. Organisationer bør derfor holde deres interne NIS2-notater opdateret, når danske myndigheder offentliggør ny vejledning eller sektorspecifikke krav.

Bøderammen er også anderledes end de ofte citerede GDPR-tal. NIS2 angiver minimumsniveauer for nationale sanktionsrammer: for væsentlige enheder kan administrative bøder være mindst op til 10 millioner euro eller 2 procent af den samlede globale årlige omsætning, afhængigt af hvad der er højest; for vigtige enheder mindst op til 7 millioner euro eller 1,4 procent. De præcise nationale regler bør vurderes ud fra dansk implementering og relevant juridisk rådgivning.

Sådan kan organisationen forberede sig

Den mest effektive forberedelse begynder med en ærlig scope-vurdering. Hvis organisationen er eller kan være omfattet, bør næste skridt være en gap-analyse mod NIS2’s krav til risikostyring, hændelsesrapportering, governance, kontinuitet og leverandørstyring. Det bør munde ud i en prioriteret handlingsplan, hvor kritiske mangler lukkes først.

1. Afklar sektor, størrelse, kritikalitet og eventuelle grænseoverskridende forhold.
2. Dokumentér beslutningen om, hvorvidt organisationen er væsentlig, vigtig eller uden for scope.
3. Kortlæg eksisterende kontroller mod NIS2-kravene og identificér dokumentationshuller.
4. Indbyg 24-timers, 72-timers og én måneds rapportering i incident response-processen.
5. Få ledelsen til at godkende politikker, risikobillede og prioriterede forbedringer.
6. Standardisér leverandørkrav og test beredskabet gennem øvelser.

Organisationer, der allerede arbejder med ISO/IEC 27001, har ofte et godt udgangspunkt, fordi ledelsessystem, risikovurdering, kontroller, intern audit og løbende forbedring passer godt til NIS2’s styringslogik. Standarden erstatter ikke NIS2, men den kan give en praktisk struktur for at gøre kravene målbare og revisionsklare.

Et struktureret kursus kan være relevant, når organisationen skal omsætte direktivkrav til kontroller, dokumentation og implementeringsplan. Readynez tilbyder et NIS2 Lead Implementer-forløb, som kan bruges til at forstå implementeringsarbejdet uden at gøre compliance til en ren juridisk øvelse.

FAQ om NIS og NIS2

Hvad er den vigtigste forskel mellem NIS og NIS2?

Den vigtigste forskel er, at NIS2 udvider både omfanget og kravsniveauet. Flere sektorer og organisationer omfattes, rapporteringsfristerne er tydeligere, ledelsesansvaret er mere eksplicit, og krav til risikostyring, leverandører og dokumentation er skærpet.

Er NIS og NIS2 tekniske systemer, der skal være kompatible?

Nej. NIS og NIS2 er EU-direktiver om cybersikkerhed, ikke softwaresystemer. Der er derfor ingen teknisk kompatibilitet eller migration mellem systemer; der er tale om en juridisk og organisatorisk overgang fra én reguleringsramme til en nyere.

Hvem bliver typisk omfattet af NIS2?

Mellemstore og store organisationer i udpegede sektorer er som hovedregel centrale i NIS2-scope. Mindre organisationer kan også blive omfattet, hvis de har en særlig kritisk funktion. Den konkrete vurdering afhænger af sektor, størrelse, tjenestens betydning og dansk gennemførelse.

Hvornår skal en væsentlig hændelse rapporteres under NIS2?

NIS2 beskriver en faseopdelt rapportering: tidlig varsling senest inden for 24 timer, hændelsesmelding senest inden for 72 timer og en slutrapport senest én måned efter hændelsesmeldingen. Organisationen bør have interne processer, der gør det muligt at indsamle, validere og godkende information inden for disse frister.

Kræver NIS2 bestemte teknologier som biometri eller blockchain?

Nej. NIS2 stiller krav om passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger, men direktivet pålægger ikke organisationer at bruge bestemte teknologier som biometri eller blockchain. Valg af kontroller bør følge risikovurdering, sektor, trusselsbillede og tjenestens kritikalitet.

Hvor NIS2-arbejdet bør lande

NIS2 bør ende som en styringsmodel, der forbinder ledelsesbeslutninger, risikovurderinger, tekniske kontroller, leverandørstyring og hændelsesrapportering. Når disse dele behandles samlet, bliver direktivet lettere at omsætte til daglig drift og lettere at dokumentere ved tilsyn.

Yderligere baggrund om sikkerhedstræning findes via Readynez, og organisationer med bredere kompetencebehov kan orientere sig om Unlimited Security Training. Hvis der er behov for at afklare et relevant læringsforløb, kan næste skridt være at kontakte Readynez.