Status efter første kvartal med NIS2
Den danske implementeringslov trådte i kraft i juli 2025, og mange virksomheder er fortsat i opstartsfasen. Vejledninger kom sent, og flere har først iværksat arbejdet i sensommeren. Usikkerhed om, hvem der er omfattet, har præget perioden, men reglerne gælder allerede, og manglende handling kan udløse kritik og senere sanktioner.
Fristen for selvregistrering har forstærket behovet for afklaring. Myndighederne forventes at følge op over for virksomheder, der burde være registreret. NIS2 stiller risikobaserede krav til styring, kontroller og hændelsesrapportering. Selve retsgrundlaget kan tilgås via EU’s officielle publikation af direktiv (EU) 2022/2555 på EUR-Lex.
Hvad kendetegner dem, der lykkes
De mest fremdriftsdygtige organisationer arbejder tværfagligt. Jurister og sikkerhedsspecialister oversætter kravene til konkrete procedurer, så fortolkning og implementering hænger sammen og flaskehalse undgås. Denne integration er afgørende for at skabe et proportionelt og dokumenterbart kontrolmiljø.
Ledelsesforankring er lige så central. Projekter prioriteres på direktions- og bestyrelsesniveau med tydelige ressourcer, milepæle og ansvar. Samtidig udviser de succesfulde virksomheder kontraktdisciplin: De kortlægger leverandørkæden, stiller klare sikkerhedskrav og etablerer systematisk opfølgning i aftalerne.
Tre prioriterede tiltag lige nu
For at skabe et solidt fundament bør virksomheder starte med enkle, men effektfulde skridt, der kan køre parallelt. Det reducerer tid til værdi og giver et klart udgangspunkt for resten af compliance-arbejdet.
Arbejdet skal være risikobaseret og dokumenteret. Det gør det lettere at forklare proportionalitet over for tilsyn og at styre leverandørrisici, som i praksis udgør en væsentlig sårbarhed.
Følgende tiltag bør prioriteres først:
- Uddan ledelsen: Giv bestyrelse og direktion et fælles risikobillede og kendskab til pligter og ansvar.
- Dokumentér eksisterende sikkerhed og gennemfør risikovurderinger: Kortlæg politikker, processer og kontroller, og vurder system- og infrastruktur-risici.
- Få styr på leverandørerne: Identificér kritiske leverandører, opdater kontraktkrav og fastlæg løbende opfølgning og audit.
Perspektiv og næste skridt
NIS2 forventes ikke at blive lempet. Kravene kan blive mere detaljerede og potentielt udvides i omfang. Et varigt governance-setup med faste rytmer for rapportering, test, forbedringer og ledelsesopfølgning er derfor nødvendigt.
Virksomheder bør integrere NIS2 i eksisterende styringsrammer som ISMS og ISO 27001, samordne hændelses- og beredskabsprocesser og indarbejde sikkerhedskrav i indkøb og kontrakter. At komme i gang nu mindsker både regulatorisk og driftmæssig risiko og står stærkt ved myndighedstilsyn.
