NIS2 — alt du skal vide som dansk SMV

NIS2 er et EU-direktiv (2022/2555) om cybersikkerhed der erstatter det oprindelige NIS1-direktiv fra 2016. I Danmark er det implementeret via Lov om cyber- og informationssikkerhed (lov nr. 1672 af 26. december 2024) som trådte i kraft 1. juli 2025.

Direktivet stiller krav til risikostyring, hændelsesrapportering, ledelsesansvar og leverandørkæde-sikkerhed for ca. 1.500 danske virksomheder direkte — plus mange flere indirekte gennem leverandørkrav. Det er den største ændring i europæisk cybersikkerhedslovgivning siden GDPR.

Tre vigtige ændringer.

For det første: bredere scope. NIS2 dækker 18 sektorer mod NIS1's 7, og inkluderer mellemstore virksomheder — ikke kun store. For det andet: ledelsesansvar. Bestyrelse og direktion kan personligt holdes ansvarlige under NIS2, inklusiv mulig erstatningsansvar og forbud mod ledelseshverv. For det tredje: bøder op til 10 mio. EUR eller 2% af global årsomsætning for væsentlige enheder.

NIS1 var primært guidance der pegede i en retning. NIS2 er enforcement med konsekvenser.

To kategorier opdelt i Annex I og II.

Annex I — Væsentlige enheder (11 sektorer): energi, transport, bank, finansmarkedsinfrastruktur, sundhed, drikke- og spildevand, digital infrastruktur, ICT-tjenester, offentlig forvaltning, rumfart, kritisk produktionsindustri.

Annex II — Vigtige enheder (7 sektorer): post og kurer, affaldshåndtering, kemikalier, fødevareproduktion, anden produktionsindustri, digitale tjenesteudbydere, forskning.

Hvis I er i en af de 18 sektorer OG har 50+ ansatte eller 10+ mio. EUR omsætning, er I som udgangspunkt omfattet. Mindre virksomheder kan også blive omfattet, hvis de leverer kritiske tjenester. Brug NIS2-tjek-værktøjet for en konkret indikation.

Væsentlige enheder (Annex I): op til 10 mio. EUR eller 2% af global årsomsætning, alt efter hvad der er højst.

Vigtige enheder (Annex II): op til 7 mio. EUR eller 1,4% af global årsomsætning.

Hertil kommer personligt ansvar for ledelse — i særligt grove tilfælde kan direktører forbydes at varetage ledelseshverv. Det er disse bøder der gør NIS2 til reelt enforcement, modsat NIS1 hvor sanktionerne i praksis var symbolske.

Artikel 21 lister 10 minimumskrav som alle skal adresseres:

1) risikoanalyse og informationssikkerhedspolitik · 2) hændelseshåndtering · 3) business continuity og backup · 4) leverandørkæde-sikkerhed · 5) sikkerhed ved indkøb, udvikling og vedligeholdelse · 6) vurdering af foranstaltningers effektivitet · 7) cyberhygiejne og awareness-træning · 8) kryptografi og kryptering · 9) personalesikkerhed og adgangskontrol · 10) multifaktor-godkendelse og sikker kommunikation.

Det er ikke en valgfri tjekliste. Alle 10 punkter skal være på plads, dokumenteret, og kunne fremvises ved tilsyn.

Den danske NIS2-lov trådte i kraft 1. juli 2025, og omfattede virksomheder er underlagt kravene fra den dato. Tilsynet (CFCS for de fleste sektorer) startede med en blød indkøringsperiode, men forventes at intensivere kontrollen markant fra 2026 og frem.

Praktisk betyder det: hvis I er omfattet, skal I have grundlæggende risikovurdering, dokumenteret informationssikkerhedspolitik, hændelsesrapporterings-procedurer og leverandørkæde-vurdering på plads nu — ikke om seks måneder. En GAP-analyse er det hurtigste sted at få overblik over hvor langt I er.

Direktivet kræver ikke en CISO med titel, men det kræver klar ansvarsplacering for informationssikkerhed på ledelsesniveau (Artikel 20 stk. 2), og at ledelsen kan dokumentere de sikkerhedsforanstaltninger der er truffet.

I praksis kan SMV'er tildele rollen til en eksisterende leder — typisk IT-chef eller direktør — med formel ansvarsbeskrivelse. Eller benytte ekstern CISO-as-a-service. Det vigtige er at rollen er navngiven, at ledelsen får jævnlig rapportering, og at det hele kan dokumenteres over for tilsynet.

Ledelsen — bestyrelse og direktion — skal:

· godkende risikostyringsforanstaltningerne · modtage uddannelse i cybersikkerhed mindst én gang om året · kunne holdes personligt ansvarlige for manglende efterlevelse, inklusiv mulig erstatningsansvar og midlertidigt forbud mod ledelseshverv.

Det er en fundamental ændring fra NIS1, hvor ansvaret var organisatorisk. Konkret betyder det at bestyrelsesreferater skal vise at NIS2-emner er behandlet, og at kursusbeviser for ledelsesuddannelse skal kunne fremvises ved tilsyn.

For ledelsesuddannelse findes danske kurser fra Dansk Industri, Dansk Erhverv og DI Digital. Det er typisk 1-2 dages forløb der opfylder Artikel 20-kravet om årlig uddannelse.

For NIS2-faglig certificering har Cyber Risk GmbH NIS2DTP-programmet (NIS2 Directive Trained Professional), som jeg selv har taget. Det er den mest omfattende civile NIS2-certificering jeg har fundet.

For tekniske rammer er der ingen "NIS2-certificering" som sådan — sikkerheden måles i praksis mod kontrolrammer som CIS Controls v8 eller ISO 27001. Hvis I vil have et internationalt anerkendt certifikat at fremvise tilsynet, er ISO 27001 stadig den mest udbredte ramme der dækker størstedelen af NIS2's krav.

Den danske implementering hedder Lov om cyber- og informationssikkerhed (lov nr. 1672 af 26. december 2024), suppleret af bekendtgørelse om foranstaltninger og bekendtgørelse om hændelsesrapportering fra samme dato. Alt ligger frit tilgængeligt på retsinformation.dk.

CFCS (Center for Cybersikkerhed under Forsvarets Efterretningstjeneste) er tilsynsmyndighed for de fleste sektorer. Finanssektoren tilses af Finanstilsynet, og energisektoren af Energistyrelsen.