Et nyt udkast til lov om sikkerhed og beredskab i telesektoren skal implementere NIS 2 i Danmark. Udkastet lægger sig tæt op ad direktivet og integrerer gældende nationale særkrav. Samtidig indføres en treleddet klassificering af teleudbydere, som skal sikre en mere proportional regulering og skærpe tilsynet, hvor risiko og samfundskritikalitet er størst.
Anvendelsesområde og klassificering
Modellen opererer med væsentlige teleudbydere, vigtige teleudbydere og øvrige teleudbydere. De to første grupper er fuldt omfattet af NIS 2-kravene, men underlægges forskelligt tilsyns- og sanktionsniveau. Den tredje gruppe pålægges alene hændelsesrapportering. Inddelingen afviger fra direktivets to kategorier og anvender nationale tærskler for at ramme proportionalt.
Et centralt kriterium er, at udbydelsen af offentlige elektroniske kommunikationsnet eller -tjenester skal være hovedydelse eller ikke-accessorisk del af virksomheden for at være fuldt omfattet. Kriteriet sigter mod at friholde mindre, ikke-traditionelle aktører fra de mest byrdefulde forpligtelser, uden at gå på kompromis med formålet om høj cybersikkerhed.
Sammenhæng med gældende regler og tilsyn
Udkastet viderefører centrale danske særregler, bl.a. om beredskabskommunikation og sikkerhedsgodkendelse af personale, ved at integrere dem med NIS 2. Lovforslaget er udtrykkeligt direktivnært og tilføjer ikke skærpede krav ud over direktivets rammer, men samler og præciserer gældende forpligtelser for teleområdet.
Tilsynet tilpasses klassificeringen: væsentlige teleudbydere møder skærpet tilsyn og strengere sanktionsrammer end vigtige teleudbydere. De nye definitioner forventes at udløse behov for konsekvensrettelser i relateret telelovgivning. Telesektoren holdes uden for den generelle NIS 2-lov, bortset fra offentlige udbydere, som fortsat falder herunder.
NUIK-tjenester
Udkastet viderefører ikke de særskilte definitioner for udbydere af nummeruafhængige interpersonelle kommunikationstjenester. Samtidig er undtagelsen for NUIK-udbydere fjernet fra den generelle udbyderdefinition, hvilket taler for, at NUIK-tjenester som udgangspunkt omfattes. Indikationen støttes af NIS 2’s præambelbetragtning 96 og videreførte regler.
Der resterer dog usikkerhed, fordi udkastet ikke eksplicit fastslår, at NUIK-udbydere altid skal behandles som teleudbydere. Praktisk bør NUIK-aktører indrette sig efter fulde NIS 2-forpligtelser, indtil der foreligger klarere lovtekst eller vejledning.
Tidsplan og næste skridt
Der lægges op til ikrafttræden den 1. juli 2025 uden overgangsperiode. Registreringsforpligtelsen efter NIS 2 skal være opfyldt senest den 1. oktober 2025. Berørte virksomheder bør tidligt afklare klassificering, opdatere styringsforanstaltninger og sikre processer for rettidig hændelsesrapportering og registrering.
Udkastet er i høring og kan læses på Høringsportalen her: hoeringsportalen.dk.
