NIS2 i praksis: registrering, indberetning inden for 24 timer og leverandørkædens virkelighed

NIS2 fik en usædvanlig start. Gennemførelsesfristen var 17. oktober 2024, og de fleste medlemsstater ramte ved siden af. To år senere er billedet stadig ujævnt, hvilket har givet mange virksomheder indtryk af, at der ikke skete meget.

Det indtryk er nu forkert. De nationale love er på plads, registreringsportalerne er åbne, og tilsynsmyndighederne er begyndt at stille spørgsmål. Tyskland åbnede sin portal 6. januar 2026 med lovbestemt frist 6. marts. Holland satte sin Cyberbeveiligingswet i kraft 15. august 2026. Andre fulgte gennem året.

Ventede du på klarhed, er den kommet, og svaret er, at du sandsynligvis er sent på den snarere end tidligt.

Hvem der er omfattet

NIS2 erstattede direktivet om net- og informationssikkerhed fra 2016 og udvidede nettet betydeligt. Anvendelsesområdet bestemmes af sektor og størrelse.

Væsentlige enheder dækker sektorer af høj kritikalitet: energi, transport, bank, finansmarkedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af ikt-tjenester, offentlig forvaltning og rummet.

Vigtige enheder dækker andre kritiske sektorer: post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling af visse produkter herunder medicinsk udstyr, computere, elektronik, maskiner og køretøjer, digitale udbydere som onlinemarkedspladser, søgemaskiner og sociale platforme, samt forskningsorganisationer.

Størrelsestærsklen er generelt mellemstor virksomhed eller større, altså 50 ansatte eller flere, eller årsomsætning over 10 millioner euro. Nogle enhedstyper er omfattet uanset størrelse, herunder visse DNS-udbydere, topdomæneregistre, tillidstjenesteudbydere og udbydere af offentlig elektronisk kommunikation.

Den tyske tilsynsmyndighed anslog omkring 29.500 omfattede enheder i det land alene. Ved den lovbestemte frist i marts 2026 havde omkring 11.500 registreret sig, stigende til omkring 18.500 ved udgangen af maj. Læs det som en advarsel snarere end en trøst. Andres langsomme registrering skaber ikke en undtagelse for dig.

To ting overrasker virksomheder. For det første omfatter sektorlisten helt almindelige producenter, ikke kun infrastrukturoperatører. Fremstiller du maskiner, elektronik eller medicinsk udstyr i nogen skala, så se nøje efter. For det andet vil dine kunder, der er omfattet, skubbe deres leverandørkædepligter over på dig kontraktuelt, selv hvis du selv falder udenfor. At være uden for anvendelsesområdet betyder ikke at være upåvirket.

Registrering er en selvstændig pligt

De fleste medlemsstater kræver, at omfattede enheder registrerer sig hos den nationale myndighed, og det er der, de første forsømmelser sker.

Registrering betyder typisk at identificere enheden, dens sektorklassificering, dens tjenester, dens kontaktpunkter for sikkerhedsforhold og de medlemsstater, den opererer i. Fristerne varierer fra land til land, og processen er ofte mere omfattende end en webformular.

Antag ikke, at du er undtaget, fordi myndigheden ikke har kontaktet dig. NIS2 bygger på selvidentifikation. Det er din opgave at afgøre anvendelsesområdet og registrere dig, ikke tilsynsmyndighedens opgave at finde dig.

Indberetningstidslinjen

Hændelsesindberetning er den operativt mest krævende del af direktivet, og fristerne er stramme.

• Inden 24 timer efter kendskab til en væsentlig hændelse: en tidlig varsling, der angiver, om hændelsen mistænkes at skyldes ulovlige eller ondsindede handlinger, og om den kan have grænseoverskridende virkning.
• Inden 72 timer: en hændelsesunderretning, der uddyber den tidlige varsling med en indledende vurdering, alvorlighed, virkning og kompromitteringsindikatorer.
• På anmodning: statusrapporter undervejs.
• Inden en måned: en slutrapport med detaljeret beskrivelse, trusselstype eller grundårsag, anvendte afbødende foranstaltninger og eventuel grænseoverskridende virkning.

En væsentlig hændelse er en, der har forårsaget eller kan forårsage alvorlig driftsforstyrrelse eller økonomisk tab, eller som har påvirket eller kan påvirke andre ved at forvolde betydelig materiel eller immateriel skade.

Den tidlige varsling inden 24 timer er den svære del. Fireogtyve timer er ikke nok til at efterforske. Det er en forhåndsvarsling, og direktivet forventer det som en forhåndsvarsling. Teams, der venter, til de forstår hændelsen, før de indberetter, vil ramme ved siden af vinduet hver gang.

Behandler jeres organisation også personoplysninger, kan I køre en GDPR-underretning på 72 timer parallelt til en anden myndighed, med andet anvendelsesområde og anden tærskel. De processer skal designes sammen, hvilket vi dækker i vores GDPR-guide.

De ti foranstaltninger

Artikel 21 kræver risikostyringsforanstaltninger, der mindst dækker ti områder. Enkelt sagt:

1. Risikoanalyse og politikker for informationssystemsikkerhed. Dokumenteret, opdateret og faktisk brugt af dem, der driver systemerne.
2. Hændelseshåndtering. Detektion, respons, genopretning og indberetningsflowet ovenfor.
3. Forretningskontinuitet og krisestyring. Backupstyring, katastrofegenopretning og en testet gendannelse snarere end et planlagt backupjob.
4. Leverandørkædesikkerhed. Behandlet særskilt nedenfor, fordi det er der, det meste af indsatsen går.
5. Sikkerhed ved anskaffelse, udvikling og vedligeholdelse. Sikker udviklingspraksis, sårbarhedshåndtering og offentliggørelse.
6. Vurdering af effektivitet. Hvordan I ved, at jeres kontroller virker. Test, revisioner, målinger.
7. Cyberhygiejne og træning. Grundlæggende praksis og bevidsthed, også for ledelsen.
8. Politikker for kryptografi og kryptering. Hvor kryptering bruges, og hvordan nøgler håndteres.
9. Personalesikkerhed, adgangsstyring og aktivstyring. Ansættelser, ændringer, fratrædelser, mindste privilegium og en opdateret aktivoversigt.
10. Multifaktorgodkendelse og sikret kommunikation. MFA eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation, og nødkommunikationssystemer.

Intet af dette er eksotisk. I de fleste organisationer er hullet ikke at vide, hvad der skal gøres, det er dokumentationen. NIS2-tilsyn er dokumentationstungt, og en udokumenteret kontrol er i praksis fraværende.

Leverandørkæden er det reelle arbejde

Den mest konsekvensrige ændring i NIS2 er vægten på leverandørkæderisiko. Omfattede enheder skal tage højde for sikkerhedspraksis hos deres direkte leverandører og tjenesteudbydere, herunder kvaliteten af deres produkter og deres sikre udviklingspraksis.

I praksis kaskaderer det. Et omfattet hospital skubber krav over på sine softwareleverandører. De skubber krav over på deres hostingudbydere og komponentleverandører. Virksomheder langt uden for det formelle anvendelsesområde ender med at besvare NIS2-afledte sikkerhedsspørgeskemaer, fordi deres kunde er omfattet.

Sælger du software eller tjenester ind i nogen af de nævnte sektorer, så forvent:

• Sikkerhedsspørgeskemaer som standarddel af indkøb, før kontrakt snarere end efter.
• Kontraktuelle sikkerhedskrav, herunder underretningsfrister for hændelser, der løber op til kundens 24-timers pligt.
• Krav om dokumentation: opsummeringer af penetrationstest, SOC 2- eller ISO 27001-status, dokumentation af sårbarhedsprocessen, SBOM'er.
• Revisionsrettigheder.

Det effektive svar er at bygge dokumentationspakken én gang. Det, kunderne spørger om, er stort set det samme på tværs af spørgeskemaer, og artefakterne overlapper kraftigt med pligterne i Cyber Resilience Act. Byg en SBOM-pipeline, en dokumenteret sårbarhedsproces og en hændelsesdrejebog, og du har besvaret det meste af begge.

Ledelsens ansvar

NIS2 gør ledelsesorganer ansvarlige for at godkende foranstaltninger til cyberrisikostyring og for at føre tilsyn med gennemførelsen, og medlemsstaterne kan gøre dem personligt ansvarlige. Ledelsen skal også gennemføre træning.

Derfor bevæger NIS2-samtaler sig hurtigere end de fleste compliancetemaer inde i virksomheder. Personligt ansvar ændrer, hvor hurtigt en bestyrelse godkender et budget.

Sanktioner

For væsentlige enheder op til 10 millioner euro eller 2 procent af den samlede globale årsomsætning, alt efter hvad der er højest. For vigtige enheder op til 7 millioner euro eller 1,4 procent. Myndighederne kan også udstede bindende påbud, kræve offentliggørelse af manglende overholdelse og i alvorlige tilfælde suspendere certificering eller midlertidigt forbyde personer at udøve ledelsesfunktioner.

Hvor du begynder, hvis du ikke har gjort det

En gennemførlig rækkefølge for en organisation, der starter næsten fra nul:

Fastlæg anvendelsesområdet ordentligt. Sektor, størrelse og de medlemsstater, I er etableret i. Få det skriftligt fra jeres jurister, fordi alt andet følger af det.

Registrér jer. Tjek fristen og proceduren hos jeres nationale myndighed. Er den udløbet, så registrér jer alligevel.

Byg aktivoversigten. Man kan ikke styre risiko på systemer, man ikke har listet. Dette er artefaktet med størst løftestang og det, der oftest mangler.

Skriv hændelsesdrejebogen og øv den. Fokusér på 24-timersvejen. Hvem erklærer, hvem vurderer grænseoverskridende virkning, hvem indsender, og hvad sker der klokken tre om natten på en helligdag.

Lav leverandørgennemgangen. List de kritiske leverandører, vurdér dem, og få sikkerhedsvilkår ind i kontrakterne ved fornyelse.

Luk de åbenlyse huller. MFA overalt, testede backups, patchstyring, adgangsgennemgange, logning. Lidet glamourøst, og det er dette, en revision ser på først.

Dokumentér undervejs. Ikke en politikmappe skrevet bagefter. Beslutninger noteret, når de træffes, med datoer og ejere.

En ærlig bemærkning om indsats

For en organisation med et fungerende sikkerhedsprogram er NIS2 for det meste en dokumentations- og indberetningsøvelse. For en organisation uden er det en reel opbygning, målt i kvartaler snarere end uger.

Fejlen er at behandle det som et complianceprojekt ejet af juridisk afdeling. Pligterne er operative. De bor hos dem, der driver systemerne, og artefakterne forbliver kun opdaterede, hvis de er en del af, hvordan teamet arbejder, snarere end noget, der produceres til en revision.

At få hjælp

Vi bygger og driver softwaresystemer for virksomheder i hele Europa, inklusive den overvågning, logning, backup og leverandørkædeoverblik, NIS2 forventer. Der hvor vi er nyttige, er på ingeniørsiden: gøre kontrollerne reelle og lade dokumentationen blive et biprodukt af normalt arbejde snarere end en særskilt indsats.

Skriv til office@c9group.dev. Vores guide til EU digital compliance 2026 dækker, hvordan NIS2 passer med alt andet, der lander i år, og siden om vedligeholdelse af ældre systemer beskriver det arbejde, der gerne kommer først.

Vi er ikke et advokatfirma og giver ikke juridisk rådgivning. Særligt fastlæggelsen af anvendelsesområdet hører til jeres jurister.