NIS2-loven stiller krav til cybersikkerheden i 18 kritiske sektorer og trådte i kraft 1. juli 2025. Er I omfattet, skal I styre jeres risici, indberette alvorlige hændelser hurtigt og registrere jer hos myndighederne. Ledelsen har ansvaret for, at det sker.
I skal indføre passende tekniske og organisatoriske foranstaltninger, der står i forhold til risikoen. Det dækker blandt andet risikoanalyse, håndtering af hændelser, sikkerhed i leverandørkæden, adgangsstyring, kryptering og uddannelse i cyberhygiejne (grundlæggende sikre it-vaner).
§ 6En væsentlig hændelse skal varsles til CSIRT-funktionen (den nationale enhed for it-sikkerhedshændelser) uden unødigt ophold: tidlig varsling senest 24 timer, en mere fyldig underretning senest 72 timer og en slutrapport senest 1 måned efter underretningen. Se forløbet under Frister og datoer. Styrelsen for Samfundssikkerhed har udgivet en vejledning om hændelsesunderretning (juni 2025).
§§ 12-13Ledelsen skal godkende risikostyringsforanstaltningerne og føre tilsyn med, at de bliver gennemført. Efter NIS2-direktivet skal ledelsen kunne holdes ansvarlig for manglende efterlevelse - i Danmark efter de almindelige ansvarsregler, herunder lovens straffebestemmelser. Ledelsesmedlemmer skal desuden deltage i relevante kurser om cybersikkerhed.
§ 7I skal registrere jer hos myndighederne med en række oplysninger om organisationen. Det sker via en blanket på Virk. Registreringspligten er løbende, og fristerne afhænger af enhedstypen. For allerede omfattede enheder var den særlige førstegangsfrist 1. oktober 2025.
§§ 9-10Loven rammer organisationer i kritiske sektorer, der enten har en vis størrelse (typisk mellemstore og store) eller leverer tjenester af særlig samfundsmæssig betydning. Sektorerne opgøres typisk som 18 fordelt på bilag 1 (særlig kritisk betydning) og bilag 2 (andre kritiske sektorer). De omfattede deles i væsentlige og vigtige enheder.
Krav efter NIS2-loven, bilag 1
Energi, transport, sundhed, drikkevand, spildevand, digital infrastruktur, bankvirksomhed, finansielle markedsinfrastrukturer, offentlig forvaltning og rummet hører til de sektorer, hvor enheder oftest klassificeres som væsentlige og dermed er underlagt de fulde sikkerhedskrav og løbende tilsyn.
Enheder i disse sektorer skal indberette væsentlige hændelser med tidlig varsling inden for 24 timer, fordi udfald her hurtigt kan ramme samfundskritiske tjenester.
Den konkrete tilpasning løser vi med rådgivning. Kontakt os →
Væsentlige enheder (essential) er underlagt løbende, proaktivt tilsyn. Vigtige enheder (important) får som udgangspunkt først tilsyn ved konkret anledning. Begge grupper skal opfylde de samme sikkerhedskrav, men håndhævelse og bødeniveau er strammere for væsentlige enheder.
CSIRT (Computer Security Incident Response Team) er den nationale enhed, der modtager og hjælper med at håndtere indberettede hændelser. Funktionen varetages af Forsvarets Efterretningstjeneste. I sender indberetningen via Virk.
Tilsynet er fordelt på sektoransvarlige myndigheder (i loven kaldet kompetente myndigheder), der hver dækker de omfattede enheder i deres sektor - for eksempel Energistyrelsen på energiområdet og Finanstilsynet på det finansielle område. Fordelingen er fastlagt i en bekendtgørelse om udpegning af kompetente myndigheder.
Styrelsen for Samfundssikkerhed koordinerer gennemførelsen, driver registreringsløsningen på Virk og er selv tilsynsmyndighed for blandt andet statslige myndigheder, kommuner og dele af fremstillingsområdet. Center for Cybersikkerhed hører i dag under styrelsen (Ministeriet for Samfundssikkerhed og Beredskab) og yder teknisk rådgivning. I 2026 er tilsynet trappet op med sektorbaserede kontroller, blandt andet på fødevareområdet.
Danmark anvender ikke administrative bøder på området. Sanktioner sker gennem politianmeldelse og strafforfølgning. Direktivets bødelofter er højere for væsentlige enheder end for vigtige - se sammenligningen nedenfor.
NIS2-loven dækker cybersikkerheden i kritiske sektorer. CER-loven dækker den fysiske modstandsdygtighed og rammer ofte de samme organisationer: enheder, der udpeges som kritiske efter CER-reglerne (frist 17. juli 2026), behandles som væsentlige enheder efter NIS2-loven. I finanssektoren går DORA (EU's forordning om digital modstandsdygtighed i finanssektoren) forud som den mere specifikke regulering, og finansielle enheder under DORA skal ikke registrere sig efter NIS2-loven.
På energi- og teleområdet gennemfører egne sektorlove NIS2-kravene. Enheder omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren er undtaget fra NIS2-loven og følger sektorlovens krav i stedet. Andre sektorlove supplerer med branchespecifikke krav. ISO 27001 (international standard for informationssikkerhed) kan bruges som frivillig ramme til at opfylde lovens krav om risikostyring. NIS2 dækker det digitale, mens beredskabsloven og Seveso-reglerne (virksomheder med store mængder farlige stoffer) dækker det fysiske og storulykker.
Du er typisk omfattet, hvis din organisation hører til en af de kritiske sektorer i lovens bilag 1 og 2 og samtidig har en vis størrelse (ofte mellemstor eller stor), eller leverer en tjeneste af særlig samfundsmæssig betydning. Sektorerne dækker blandt andet energi, transport, sundhed, vand, digital infrastruktur, affald, fødevarer, kemi, fremstilling og forskning. Er du i tvivl, kan du tjekke kriterierne hos den sektoransvarlige myndighed.
En væsentlig hændelse skal varsles uden unødigt ophold. Du skal sende en tidlig varsling senest 24 timer efter, at I er blevet bekendt med hændelsen, en mere fyldig underretning senest 72 timer efter, og en slutrapport senest 1 måned efter underretningen. Indberetning sker via Virk. For digitale enheder som DNS- og cloududbydere fastsætter en EU-gennemførelsesforordning (en udfyldende EU-regel), hvornår en hændelse regnes som væsentlig.
Begge typer skal opfylde de samme sikkerhedskrav. Forskellen ligger i tilsyn og håndhævelse: væsentlige enheder er under løbende, proaktivt tilsyn, mens vigtige enheder som udgangspunkt først får tilsyn, når der er konkret anledning til det. Bødeloftet er også højere for væsentlige enheder.
Få en uforpligtende gennemgang af, hvad der gælder for jer, og hvordan I dokumenterer beredskabet.
Kontakt for en gennemgangSkal I omsætte kravene til en konkret beredskabsplan?