Hvad er NIS2?
NIS2 er EU's direktiv om cybersikkerhed (direktiv 2022/2555). I Danmark er det gennemført i NIS2-loven, der trådte i kraft 1. juli 2025. Loven omfatter langt flere virksomheder end den tidligere NIS1-lovgivning – flere tusinde danske virksomheder skal nu leve op til kravene.
Omfattede virksomheder skulle selv registrere sig hos den relevante myndighed senest 1. oktober 2025. Tilsynet er fordelt på sektormyndigheder, og Styrelsen for Samfundssikkerhed har udgivet tværgående vejledninger.
Mange overså registreringsfristen. Er I i tvivl om, hvorvidt I er omfattet og registreret, så få det afklaret nu – tilsynet kan opdage det ved en hændelse eller en kontrol.
Hvem er omfattet af NIS2?
Som hovedregel mellemstore og store virksomheder i bestemte sektorer – typisk med mindst 50 ansatte eller over 10 mio. euro i årlig omsætning og balance.
Højkritiske sektorer
Store virksomheder her er typisk væsentlige enheder.
- Energi (el, fjernvarme, olie, gas, brint)
- Transport (luft, jernbane, sø, vej)
- Bank og finansiel infrastruktur
- Sundhed
- Drikkevand og spildevand
- Digital infrastruktur og IKT-tjenester
- Offentlig forvaltning
- Rumfart
Andre kritiske sektorer
Virksomheder her er typisk vigtige enheder.
- Post- og kurertjenester
- Affaldshåndtering
- Kemikalier
- Fødevarer
- Fremstilling (fx maskiner, elektronik, medicinsk udstyr, køretøjer)
- Digitale udbydere (markedspladser, søgemaskiner, sociale netværk)
- Forskning
Ikke omfattet? I kan stadig blive ramt
Omfattede virksomheder skal stille krav til sikkerheden i deres forsyningskæde. Er I leverandør til en NIS2-virksomhed, vil I ofte møde krav om beredskabsplan, hændelsesrapportering og dokumentation i kontrakten. Et dokumenteret beredskab kan derfor være afgørende for at vinde og beholde kunder.
NIS2-lovens 10 minimumskrav
Omfattede virksomheder skal have passende tiltag på plads inden for disse områder. Flere af dem handler direkte om beredskab – det er dér, SkadePartner har sin styrke.
Læg mærke til kravet om sikrede nødkommunikationssystemer: Kan I kommunikere, hvis mail og Teams er nede, som under Microsoft-nedbruddet i november 2026?
- 1Politikker for risikoanalyse og informationssikkerhed
- 2Håndtering af hændelser
- 3Driftskontinuitet: backup, gendannelse og krisestyring
- 4Sikkerhed i forsyningskæden og hos leverandører
- 5Sikkerhed ved indkøb, udvikling og vedligehold af systemer
- 6Vurdering af, om sikkerhedstiltagene virker
- 7Grundlæggende cyberhygiejne og træning af medarbejdere
- 8Brug af kryptering
- 9Personalesikkerhed, adgangsstyring og styring af aktiver
- 10Tofaktorlogin og sikrede nødkommunikationssystemer
Hændelsesrapportering: 24 timer, 72 timer, 1 måned
Ved en væsentlig hændelse løber uret. Uden en fast procedure er fristerne svære at nå.
Tidlig varsling
Første besked til myndighederne, når I bliver opmærksomme på en væsentlig hændelse.
Hændelsesunderretning
Opdateret vurdering af hændelsen, dens alvor og påvirkning.
Endelig rapport
Beskrivelse af årsag, tiltag og konsekvenser.
Ledelsen hæfter personligt
Ledelsen skal godkende virksomhedens cybersikkerhedstiltag, føre tilsyn med dem og gennemgå uddannelse. Bøderne kan nå op til 10 mio. euro eller 2 % af den globale årsomsætning for væsentlige enheder og 7 mio. euro eller 1,4 % for vigtige enheder.
Sådan hjælper SkadePartner med NIS2
Praktisk hjælp til at komme fra krav til et beredskab, der virker – og kan dokumenteres.
NIS2-afklaring
Er I væsentlig, vigtig eller ikke omfattet? Vi gennemgår sektor, størrelse og koncernforhold.
Gap-analyse
Hvor langt er I fra de 10 minimumskrav? I får en prioriteret handlingsplan.
Beredskabsplan
Driftskontinuitet, nødkommunikation og plan for nedbrud hos leverandører.
Leverandørstyring
Overblik over kritiske leverandører, krav i kontrakter og exit-planer.
Rapporteringsprocedure
Klar proces for 24-, 72-timers og endelig rapportering – med ansvarlige og skabeloner.
Ledelsestræning og øvelser
Ledelsen skal godkende og føre tilsyn med tiltagene. Vi træner og øver med jer.
Vi udfører ikke juridisk rådgivning eller teknisk IT-arbejde. Ved juridisk tvivl inddrager vi en advokat, og det tekniske arbejde udføres af jeres IT-leverandør eller IT-sikkerhedspartnere.
NIS2, CRA og DORA – hvad er forskellen?
NIS2 handler om virksomheder: Omfattede organisationer skal sikre deres egne systemer og drift.
Cyber Resilience Act (CRA) handler om produkter: Producenter af software og forbundne produkter skal siden 11. september 2026 anmelde aktivt udnyttede sårbarheder og alvorlige hændelser inden for 24 timer.
DORA gælder finanssektoren: Banker, forsikringsselskaber og andre finansielle virksomheder skal dokumentere digital modstandsdygtighed.
Ofte stillede spørgsmål om NIS2
Book gratis NIS2-tjek
Fortæl kort, hvad det drejer sig om, så ringer vi jer op.
- Gratis og uforpligtende
- Svar inden for 2 timer i åbningstiden
- Haster det? Ring 60 80 60 42 – døgnet rundt
Skadeekspert og ejer · 10+ år i skadebranchen
Kontakt os
Vi vender tilbage inden for 2 timer i åbningstiden (hverdage 8-17).