Faldgruber ved køb af cybersikkerhed og de officielle kilder, I skal kende

De dyreste fejl ved køb af administreret sikkerhed handler sjældent om valg af værktøj. De handler om huller i dækningen (enheder og konti, ingen overvåger), uklare roller (ingen ved, hvem der må gribe ind eller anmelde), manglende kontrakttekst (respons, timer, exit) og oversete regler (NIS2-frister, GDPR-anmeldelse, tilladelse til pentest). Denne oversigt samler faldgruberne, de danske myndigheder og regler, der gælder, og linker til guides om hver del. Brug den som tjekliste før køb – og igen én gang om året.

Indholdet er generel information, ikke juridisk rådgivning.

De ti faldgruber

Faldgrube	Hvad der sker	Læs mere
1. Ufuldstændig dækning	Angriberen kommer ind via en server eller konto uden agent	Typiske fejl ved outsourcing
2. "24/7" uden respons	Alarmen kommer kl. 2, men ingen handler før kl. 8	MDR og SOC som service
3. Ingen responsmatrix	Leverandøren tør ikke isolere en server og venter på svar	SLA og kontraktspørgsmål
4. Uklar rapportering	Ingen sender NIS2-varsling inden for 24 timer	Ved en hændelse: hvem gør hvad
5. Manglende databehandleraftale	Leverandøren ser personoplysninger uden aftale	GDPR, databehandleraftale og brud
6. Pentest uden skriftlig tilladelse	Test af systemer hos tredjepart uden aftale	Penetrationstest og straffeloven
7. Forsikringskrav ikke opfyldt	Dækning afvises, fordi to-faktor-login manglede	Cyberforsikring og krav
8. Ingen exit-plan	Logdata og licenser forsvinder ved skift	Exit, logdata og leverandørskift
9. Ledelsen ikke involveret	Ledelsen har ikke godkendt foranstaltningerne	NIS2 og jeres sikkerhedsleverandør
10. Ingen opfølgning	Rapporter læses ikke, fund rettes ikke	Typiske fejl ved outsourcing

De danske myndigheder og deres roller

Myndighed eller ordning	Rolle	Hvornår I skal bruge den
Styrelsen for Samfundssikkerhed (samsik.dk)	Vejledning om NIS2, kompetent myndighed for en række sektorer, tilsyn	Er I omfattet af NIS2? Hvilken sektormyndighed?
Sektormyndigheder	Tilsyn med NIS2 i den enkelte sektor	Spørgsmål om krav i jeres sektor
Forsvarets Efterretningstjeneste	National CSIRT ifølge samsik.dk; modtager hændelsesunderretninger	Væsentlige hændelser efter NIS2
Virk (virk.dk)	Indgang til NIS2-registrering og indberetning af hændelser	Registrering og indberetning
SikkerDigital (sikkerdigital.dk)	Styrelsen for Samfundssikkerheds side med råd til borgere og virksomheder, cyberhotline, NIS2tjek	Råd, selvtest, hjælp når skaden er sket
Datatilsynet (datatilsynet.dk)	Tilsyn med databeskyttelse; modtager anmeldelse af brud på persondatasikkerheden	Brud med personoplysninger
Politiet (politi.dk)	Efterforskning af it-kriminalitet	Anmeldelse af angreb og svindel
Skattestyrelsen (skat.dk)	Moms, herunder omvendt betalingspligt	Køb hos udenlandske leverandører
Retsinformation (retsinformation.dk)	Den officielle lovsamling	Lovtekster

Mange kender stadig navnet Center for Cybersikkerhed (CFCS) fra tidligere vejledninger. CFCS hørte under Forsvarets Efterretningstjeneste, og i august 2024 blev en række af centrets opgaver flyttet til den nye Styrelsen for Samfundssikkerhed. I dag peger samsik.dk på Styrelsen for Samfundssikkerhed for vejledning og på Forsvarets Efterretningstjeneste som national CSIRT. Tjek den aktuelle rollefordeling på samsik.dk, før I skriver kontaktoplysninger ind i jeres beredskabsplan.

De vigtigste regler

Regel	Hvad den betyder for køb af sikkerhed
NIS2-loven, lov nr. 434 af 6. maj 2025	Sikkerhedsforanstaltninger (§ 6), ledelsesansvar (§ 7), registrering (§§ 9–10), rapportering 24 t / 72 t / 1 md. (§ 13), bøde (§ 32)
GDPR art. 28	Databehandleraftale med leverandøren
GDPR art. 32	Passende sikkerhed for personoplysninger
GDPR art. 33–34	Anmeldelse til Datatilsynet inden for 72 timer og underretning af de registrerede ved høj risiko
Straffeloven § 263	Uberettiget adgang til en andens datasystem er strafbar – derfor skriftlig tilladelse til pentest
Momsloven § 46, stk. 1, nr. 3	Omvendt betalingspligt ved køb af ydelser fra udlandet
Bogføringsloven	Opbevaring af regnskabsmateriale og krav til sikkerhed i digitale bogføringssystemer

Årlig gennemgang: fem spørgsmål

Dækker aftalen stadig alle enheder, konti og systemer – også de nye?
Er kontaktlisten til hændelser opdateret, også uden for arbejdstid?
Har ledelsen fået en rapport og truffet de beslutninger, der skulle træffes?
Er fundene fra sidste pentest rettet?
Passer prisen stadig til omfanget – eller er der betalt for enheder, der ikke findes?

Brug tjeklisten til leverandøren som grundlag.

Når I bør hente hjælp

Ved tvivl om, hvorvidt I er omfattet af NIS2: kontakt sektormyndigheden eller en rådgiver.
Ved større kontrakter eller lange bindinger: få en it-kyndig advokat til at gennemgå vilkårene.
Ved en igangværende hændelse: kontakt jeres beredskabsleverandør, og brug SikkerDigitals cyberhotline og politiet.

Tegn på, at aftalen ikke virker

I har ikke fået en rapport i flere måneder.
Leverandøren kan ikke svare på, hvor mange enheder der er dækket.
Der har aldrig været en eskaleret alarm – heller ikke en falsk.
Kontaktlisten nævner medarbejdere, der er stoppet.
Fund fra sidste pentest står stadig åbne.

Ser I to eller flere af tegnene, så bed om et statusmøde, og gennemgå aftalen med tjeklisten.

Ofte stillede spørgsmål

Hvor finder vi den gældende NIS2-lov?

På retsinformation.dk. Søg efter lov nr. 434 af 6. maj 2025. Tjek også, om der er udstedt bekendtgørelser for jeres sektor.

Hvem er vores sektormyndighed?

Styrelsen for Samfundssikkerhed har en oversigt over sektoransvarlige myndigheder på samsik.dk.

Er der gratis hjælp til små virksomheder?

SikkerDigital har råd, selvtest og en cyberhotline. Erhvervshusene vejleder gratis om ordninger.

Kilder

Retsinformation – NIS2-loven, straffeloven, momsloven
Styrelsen for Samfundssikkerhed – NIS2, registrering og sektormyndigheder
SikkerDigital – råd, NIS2tjek og cyberhotline
Datatilsynet – anmeldelse af brud på persondatasikkerheden
Politi – anmeldelse af it-kriminalitet
Skattestyrelsen – moms ved køb i udlandet