NIS2 skærper kravene og accelererer forberedelserne
EU’s NIS2-direktiv træder i kraft i Danmark den 1. juli 2025 og hæver kravene til cyber- og informationssikkerhed for både private og offentlige aktører i samfundsvigtige og kritiske sektorer. Kravene omfatter ikke alene tekniske foranstaltninger, men også tydelig organisatorisk forankring og eksplicit ledelsesansvar. Den danske implementering er dog præget af udeståender, fordi væsentlige bekendtgørelser og vejledninger endnu ikke foreligger. Virksomheder kan derfor forvente en praktisk “blød” implementering – uden at det ændrer ved, at pligterne gælder fra dag ét.
Det regulatoriske sigte er at løfte det generelle sikkerhedsniveau og reducere sårbarheder på tværs af sektorer. Forberedelser bør derfor prioriteres nu med fokus på at dokumentere beslutninger, risikovurderinger og beredskab samt at sikre, at ledelsen kan føre reelt tilsyn.
Sektorspecifikt tilsyn og behov for ensartet praksis
En nyskabelse under NIS2 er den sektoropdelte tilsynsmodel. I stedet for én central myndighed fordeles tilsynet på fagmyndigheder med branchespecifik indsigt. Modellen kan styrke relevans og proportionalitet i kravene, men rummer samtidig risiko for uensartet praksis og øget kompleksitet for leverandører, der leverer på tværs af sektorer.
Det bliver centralt, at koordinerende myndigheder sikrer sammenhæng i retningslinjer, kontrol og sanktioner. En tydelig, offentlig praksis og anvendelige vejledninger vil være afgørende for retssikkerhed og forudsigelighed – ikke mindst i grænsefladen til anden EU-regulering som GDPR.
Fra sikkerhed til resiliens: risikovurdering i centrum
NIS2 flytter fokus fra idealet om “fuld sikkerhed” til praktisk resiliens: evnen til at modstå, opdage, reagere på og komme sig efter hændelser. Kerneelementet er en løbende, dokumenteret risikovurdering, der identificerer systemer, processer og data med høj kritikalitet og styrer prioriteringen af sikkerhedsforanstaltninger og beredskab.
Et altomfattende, fladt kravniveau kan udvande indsatsen. Direktivets pligter bør operationaliseres risikobaseret, så organisationer styrker de mest kritiske funktioner først. Det indebærer klare roller, trænet hændelseshåndtering, testede backup- og genopretningsprocedurer samt opdaterede kontinuitetsplaner.
Ledelsesansvar, rapportering og praktiske skridt
Direktivet placerer et eksplicit ansvar hos øverste ledelse. Det kræver governance, styringsværktøjer og kvalitetssikret ledelsesinformation for at træffe oplyste beslutninger. Ledelsen bør sikre, at kompetencer, mandat og ressourcer matcher risikobilledet, og at kontroller følges op med regelmæssig rapportering og forbedringstiltag.
Indberetningspligten ved sikkerhedshændelser bliver mere detaljeret, hvilket kan udfordre de første døgn, hvor organisationen samtidig skal begrænse skaden. Forvent også større offentlighed og medieinteresse. Et forberedt kommunikationsberedskab og klare interne beslutningsgange kan reducere både regulatorisk og omdømmemæssig risiko.
Virksomheder kan med fordel fokusere på tre konkrete handlinger for at komme sikkert fra start:
- Etabler overblik og gennemfør en risikovurdering. Kortlæg systemer, afhængigheder og forretningskritikalitet.
- Forankr ansvar i ledelsen. Definér roller, mandat og rapporteringslinjer, så beslutninger kan træffes hurtigt og dokumenteret.
- Prioritér det væsentlige. Alloker ressourcer til de mest kritiske processer og systemer før mindre væsentlige.
Den vigtigste fejl er passivitet. Selv med manglende detailregler er det muligt – og nødvendigt – at arbejde risikobaseret, styrke beredskabet og sikre ledelsesmæssig forankring, så organisationen står robust ved ikrafttrædelsen.
