Den danske udgave af EU's NIS2-direktiv – officielt lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (lov nr. 434 af 6. maj 2025) – trådte i kraft 1. juli 2025. Danmark var over otte måneder forsinket i forhold til EU's frist i oktober 2024.

Mere end et år senere er det stadig en af de love, it-folk oftest bliver spurgt om. Her er det vigtigste.

Hvem er omfattet?

Loven gælder for omkring 6.000 danske virksomheder og myndigheder inden for i alt 18 samfundskritiske og vigtige sektorer – blandt andet energi, transport, sundhed, vand, digital infrastruktur, fødevarer, affald og produktion af en række varer.

Som tommelfingerregel er mellemstore og store virksomheder i de sektorer omfattet. Men en mindre organisation kan også være det, hvis den fx er den eneste udbyder af en tjeneste, der er vigtig for samfundet.

Det er virksomhedens eget ansvar at vurdere, om den er omfattet. Fristen for at registrere sig på virk.dk var 1. oktober 2025 – en frist, mange overså. Har I ikke registreret jer, men er omfattet, gælder kravene alligevel. Registreringen afgør ikke, om man er omfattet.

Hvad kræver loven?

  • Risikostyring: En dokumenteret vurdering af cyberrisici og passende sikkerhedstiltag.
  • Hændelsesrapportering: Væsentlige hændelser skal indberettes hurtigt via virk.dk.
  • Leverandørkontrol: Sikkerheden i forsyningskæden skal også vurderes.
  • Ledelsesansvar: Ledelsen skal godkende tiltagene, føre tilsyn og have den nødvendige viden. Det kan ikke uddelegeres til it-afdelingen.

Tilsyn og bøder

Tilsynet er delt mellem Styrelsen for Samfundssikkerhed (SAMSIK) og de enkelte sektormyndigheder – fx Trafikstyrelsen for transport og Fødevarestyrelsen for fødevarer. Bøderne kan for de væsentligste enheder løbe op i 10 millioner euro eller en procentdel af den globale omsætning.

Første skridt, hvis I er i tvivl

  1. Find jeres sektor og størrelse og brug myndighedernes vejledninger til at afgøre, om I er omfattet.
  2. Kontakt sektormyndigheden, hvis I stadig er i tvivl.
  3. Registrér jer, hvis I er omfattet – hellere sent end aldrig.
  4. Start med en risikovurdering. Den er grundlaget for alt det andet.

Er I ikke omfattet, kan I stadig blive mødt af kravene: Store kunder, der selv er omfattet, stiller i stigende grad NIS2-lignende krav til deres leverandører. Læs også om den nye nationale cyberstrategi, der skal hjælpe især de små og mellemstore virksomheder.