NIS2 og jeres sikkerhedsleverandør: hvad kan outsources, og hvad bliver hos ledelsen?

NIS2-loven (lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau) har gældt siden 1. juli 2025. Er jeres virksomhed omfattet, skal I have passende sikkerhedsforanstaltninger, ledelsen skal godkende dem og deltage i kurser, og væsentlige hændelser skal rapporteres med en tidlig varsling inden for 24 timer, en underretning inden for 72 timer og en endelig rapport senest 1 måned efter underretningen. En MSSP kan udføre meget af arbejdet – overvågning, opdagelse, dokumentation og udkast til rapporter – men ansvaret bliver hos virksomheden og dens ledelse. Er I ikke omfattet, kan jeres kunder stadig stille NIS2-lignende krav til jer som leverandør.

Guiden hører under prisoverblikket. Indholdet er generel information, ikke juridisk rådgivning.

Er I omfattet?

Loven gælder for offentlige og private enheder af de typer, der står i lovens bilag 1 og 2 (fx energi, transport, sundhed, drikkevand, digital infrastruktur, forvaltning af ikt-tjenester, post, affald, kemikalier, fødevarer, visse fremstillingsvirksomheder og digitale udbydere). Derudover er størrelsen afgørende:

Kategori	Størrelse (hovedregel)	Lovens bestemmelse
Væsentlig enhed	Bilag 1-type og mindst 250 ansatte, eller omsætning over 50 mio. euro og balance over 43 mio. euro	§ 4
Vigtig enhed	Bilag 1- eller 2-type og mindst 50 ansatte, eller omsætning og balance over 10 mio. euro	§ 5
Uanset størrelse	Fx kvalificerede tillidstjenesteudbydere, DNS-tjenesteudbydere, topdomæneadministratorer og visse andre	§ 4, stk. 3

Bemærk "og" i omsætnings- og balancekravet: en virksomhed med 30 ansatte og en omsætning over 10 mio. euro, men en balance under, er efter hovedreglen ikke omfattet.

Undtagelser (§ 1, stk. 2): Enheder, der er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og visse finansielle virksomheder følger deres egne regler i stedet. Brug Styrelsen for Samfundssikkerheds selvtest NIS2tjek på sikkerdigital.dk, og tjek hvilken sektormyndighed der fører tilsyn med jeres område.

MSSP'en er selv omfattet

Leverandører af administrerede tjenester og administrerede sikkerhedstjenester står i lovens bilag 1 under sektoren "Forvaltning af ikt-tjenester (business-to-business)". En udbyder af administrerede sikkerhedstjenester er en udbyder, der udfører eller yder assistance til aktiviteter vedrørende styring af cybersikkerhedsrisici. Er leverandøren stor nok, er den selv omfattet og skal registreres (§ 9). Det giver jer et godt spørgsmål i udbuddet: "Er I omfattet af NIS2 – og hvordan dokumenterer I jeres egen sikkerhed?"

Registrering

Omfattede enheder skulle registrere sig senest 1. oktober 2025 (§ 33, stk. 3). Registreringen sker via en digital blanket på virk.dk med MitID Erhverv. Styrelsen for Samfundssikkerhed oplyser, at en virksomhed, der bliver omfattet senere, skal registrere sig inden for to uger, og at ændringer skal meddeles senest 3 måneder efter. Tjek de aktuelle frister på samsik.dk.

Hvad loven kræver – og hvem der kan gøre det

§ 6, stk. 1 opregner minimumsforanstaltningerne. Tabellen viser, hvad en MSSP typisk kan hjælpe med:

Krav i § 6, stk. 1	Kan MSSP'en udføre?	Hvad bliver hos jer
1. Risikoanalyse og politikker	Ekstern CISO kan udarbejde	Ledelsen godkender
2. Håndtering af hændelser	MDR/SOC opdager og reagerer	Beslutninger om drift, kommunikation, rapportering
3. Driftskontinuitet, backup, krisestyring	Kan drive backup og teste gendannelse	Prioritering af systemer, kriseledelse
4. Forsyningskædesikkerhed	Kan vurdere leverandører	I vælger og kontraherer leverandørerne
5. Sikkerhed ved anskaffelse og vedligehold	Sårbarhedsscanning, patching	Krav i jeres indkøb
6. Vurdering af effektivitet	Penetrationstest, rapporter	Opfølgning og beslutning
7. Cyberhygiejne og uddannelse	Awareness-træning	At medarbejderne deltager
8. Kryptografi	Opsætning	Politik
9. Personalesikkerhed, adgang, aktiver	Adgangsstyring, aktivliste	Ansættelse og fratrædelse
10. Multifaktorautentificering	Opsætning og overvågning	At det gælder alle

Ledelsesansvar

Foranstaltningerne skal godkendes af ledelsesorganet, som fører tilsyn med gennemførelsen (§ 7, stk. 1). Ledelsesmedlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at medarbejderne får tilsvarende tilbud (§ 7, stk. 2). Ledelsesorganet er fx bestyrelsen i et selskab med både bestyrelse og direktion eller direktionen, hvis der kun er en direktion.

Planlæg derfor en fast rapport fra MSSP'en til ledelsen – fx kvartalsvis – med status, hændelser og beslutninger, ledelsen skal tage.

Rapportering af væsentlige hændelser

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab for enheden, eller kan ramme andre ved at forårsage betydelig skade (§ 12, stk. 2). Underretningen sker til den kompetente myndighed og CSIRT'en (§ 12, stk. 1). Ifølge samsik.dk er Forsvarets Efterretningstjeneste national CSIRT, og indberetning sker via virk.dk.

Frist	Hvad	Lovens bestemmelse
Senest 24 timer efter kendskab	Tidlig varsling: mistanke om ondsindet handling eller grænseoverskridende virkning	§ 13, stk. 1, nr. 1
Senest 72 timer efter kendskab	Hændelsesunderretning med indledende vurdering af alvor og indvirkning	§ 13, stk. 1, nr. 2
Efter anmodning	Foreløbig rapport med statusopdateringer	§ 13, stk. 1, nr. 3
Senest 1 måned efter underretningen	Endelig rapport med beskrivelse, årsag, tiltag og grænseoverskridende virkning	§ 13, stk. 1, nr. 4

Uret starter ved kendskab – også en lørdag nat. Skriv derfor ind i aftalen med MSSP'en, at de straks underretter jer og leverer de tekniske oplysninger til varslingen. Se ved en hændelse: hvem gør hvad. Er der også personoplysninger involveret, gælder GDPR's 72-timersfrist ved siden af.

Tilsyn og sanktioner

Myndighederne kan give påbud, kræve audit og for væsentlige enheder i sidste ende midlertidigt forbyde en person med ledelsesansvar på niveau med administrerende direktør at udøve ledelsesfunktioner, hvis tidligere påbud ikke er fulgt (§ 23). Overtrædelse af bl.a. § 6, §§ 9–10 og §§ 12–13 straffes med bøde (§ 32), og selskaber kan straffes. NIS2-direktivet (art. 34, stk. 4–5) kræver, at bødemaksimum for overtrædelse af kravene til sikkerhedsforanstaltninger og rapportering er mindst 10 mio. euro eller 2 % af den samlede globale årsomsætning for væsentlige enheder og mindst 7 mio. euro eller 1,4 % for vigtige enheder – alt efter hvad der er højest. Den danske lov angiver ikke selv beløbene. Ifølge bemærkningerne til lovforslaget (L 141, 2024/25) bruges der ikke administrative bøder i Danmark: Myndigheden kan politianmelde, og bøden udmåles i det almindelige strafferetlige system – i sidste ende af domstolene – med direktivets maksima som forudsat niveau. Tjek vejledningen fra jeres sektormyndighed.

Ofte stillede spørgsmål

Kan vi overdrage rapporteringspligten til MSSP'en?

Leverandøren kan udarbejde og sende oplysningerne for jer, men pligten påhviler virksomheden. Aftal skriftligt, hvem der indberetter, og sørg for, at ledelsen er orienteret.

Hvad koster det at blive NIS2-klar?

Det afhænger af udgangspunktet. Som illustrativt eksempel kan en mellemstor virksomhed bruge 80–150 timer ekstern rådgivning første år ud over overvågningen. Se ekstern CISO – pris og indhold.

Vi er ikke omfattet – skal vi så gøre noget?

Ja, hvis I er leverandør til omfattede virksomheder. De skal styre risici i deres forsyningskæde og kan kræve dokumentation af jer.

Kilder

Retsinformation – NIS2-loven, lov nr. 434 af 6. maj 2025, §§ 1, 4–7, 9, 12–13, 32–33, og lovforslag L 141 (2024/25) med bemærkninger
EU-Publikationskontoret – NIS2-direktivet (direktiv (EU) 2022/2555), art. 34
Styrelsen for Samfundssikkerhed – NIS2-vejledninger, registrering og sektormyndigheder
SikkerDigital – NIS2tjek og råd til virksomheder
Virk – registrering og indberetning af hændelser