Danmark implementerer NIS 2 via en tværsektoriel rammelov suppleret af sektorbekendtgørelser. Virksomheder, der opfylder kriterierne, skal selv vurdere deres status, registrere sig og indrette deres styring af cybersikkerhed efter de nye minimumskrav og rapporteringsfrister. EU-Kommissionens kommende gennemførelsesretsakter – særligt for digitale udbydere – vil konkretisere tekniske krav, som kan få direkte virkning og bør indgå i planlægningen allerede nu.
Ramme, tidsplan og EU-akter
Hovedloven fastlægger de tværgående rammer, mens hver (del)sektor får specifikke regler om sikkerhedsforanstaltninger, hændelsesrapportering og tilsyn. For teleområdet afventes særskilt lovgivning, mens energisektoren forventes reguleret via lov, og den finansielle sektor er allerede omfattet gennem ændringer, der er trådt i kraft og kan læses på retsinformation.dk.
NIS 2 forudsætter desuden gennemførelsesretsakter, som præciserer udvalgte forpligtelser, herunder sikkerhedsforanstaltninger og rapportering. Udkast for digitale udbydere (bl.a. cloud, forvaltede it-tjenester, datacentre og online markedspladser) indeholder detaljerede krav, der væsentligt udbygger direktivets rammer. Virksomheder i disse kategorier bør tilpasse deres implementering i lyset af udkastene.
Omfang og registrering
Omfattet status vurderes selskab for selskab og beror på ydelser, etablering og størrelse. Virksomheder skal kunne dokumentere deres vurdering og registrere sig hos den relevante myndighed. Leveres ydelser på tværs af (del)sektorer eller lande, kan der opstå pligt til flerstrenget registrering.
De centrale optagelseskriterier kan sammenfattes således:
- Levering af ydelser omfattet af bilag 2 og/eller 3.
- Etablering i EU eller levering af ydelser til EU-markedet.
- Overskridelse af SMV-tærskler; ofte vurderet på koncernniveau ved indbyrdes afhængighed.
Enheder i bilag 2 kategoriseres som væsentlige, mens øvrige omfattede enheder er vigtige. Forskellen knytter sig primært til tilsynets intensitet og sanktionsniveauer; materielle krav er i det væsentlige ens. Statslige myndigheder omfattes som udgangspunkt uanset størrelse, mens kommuner og universiteter følger, hvis de leverer ydelser omfattet af bilagene.
Rapportering og sikkerhedskrav
Ved kendskab til en væsentlig sikkerhedshændelse skal en early warning afgives uden unødig forsinkelse og senest inden 24 timer, med efterfølgende opdatering inden 72 timer samt en afsluttende, uddybende rapport inden en måned. Fristerne løber parallelt fra det tidspunkt, hvor enheden bliver bekendt med hændelsen. Den nærmere afgrænsning af “væsentlig” fastsættes i sektorbekendtgørelser og EU-akter.
Minimumskravene til sikkerhedsforanstaltninger dækker centrale styrings- og kontrolområder. Virksomheder bør sikre en sammenhængende implementering på tværs af politikker, processer og teknik, herunder:
- Risikopolitikker og informationssikkerhed samt effektiv hændelseshåndtering.
- Driftskontinuitet, herunder backup og katastrofeberedskab, samt krisestyring.
- Forsyningskædesikkerhed i relation til leverandører og tjenesteudbydere.
- Sikker udvikling og vedligehold, inkl. sårbarhedshåndtering og offentliggørelse.
- Løbende evaluering og test af foranstaltningers effektivitet.
- Grundlæggende cyberhygiejne og målrettet uddannelse.
- Kryptografipolitikker og, hvor relevant, kryptering.
- Personalesikkerhed, adgangsstyring og forvaltning af aktiver.
- Brug af multifaktorautentificering og sikrede kommunikationsløsninger.
Tilsyn, sanktioner og ledelse
Væsentlige enheder risikerer bøder på op til 2 % af global omsætning eller 10 mio. EUR, mens vigtige enheder kan mødes med op til 1,4 % eller 7 mio. EUR. I Danmark udstedes bøder via straffesystemet efter politianmeldelse. Den danske lov indfører ikke et skærpet personligt ledelsesansvar ud over de almindelige regler; personlig ansvarspådragelse forudsætter som udgangspunkt grov uagtsomhed eller forsæt.
Ledelsesorganet skal godkende sikkerhedsforanstaltninger, føre tilsyn med implementeringen og sikre løbende effektivitet. Bestyrelse og direktion skal desuden deltage i relevante kurser. Praktisk anbefales det at følge EU-akterne tæt, afstemme med de kommende sektorbekendtgørelser og planlægge registrering. Digitale udbydere har frist 17. januar 2025, mens øvrige aktører har frist 17. april 2025. Internationale koncerner bør samtidig håndtere eventuelle nationale registreringskrav i andre medlemsstater.
