NIS2-direktivet

NIS2 skærper kravene til cyber- og informationssikkerhed fra 1. juli med ledelsesansvar, sektorspecifikt tilsyn og strengere indberetningspligter. Uklare bekendtgørelser øger usikkerheden, men pligterne gælder. Prioritér risikovurdering, governance og beredskab nu.

Et dansk lovforslag skal implementere NIS2 og forventes at træde i kraft til sommer. Reglerne udvider kredsen af omfattede sektorer, skærper krav til risikostyring og ledelsesansvar og giver tilsynsmyndigheder markant stærkere sanktionsmuligheder. Minimumsimplementering begrænser ekstra byrder.

Kommunerne bringes ind under NIS2, efter at regeringen har fremsat tre lovforslag. Det medfører skærpede krav til it-sikkerhed, risikovurdering, leverandørstyring, hurtig hændelsesrapportering og ledelsesforankring. Folketinget skal nu behandle reglerne.

Alle kommuner bliver omfattet af NIS2. Kravene gælder samtlige net- og informationssystemer, ikke kun kritiske tjenester. Lovforslaget er fremsat med foreslået ikrafttræden 1. juli 2025. Kommuner skal styrke governance, risikostyring og hændelsesrapportering.

Danmark gennemfører NIS2 med sektorvise tilsynsmyndigheder og detaljerede krav i kommende bekendtgørelser. Ikrafttræden udskydes til 1. marts 2025, men forpligtelserne består. Virksomheder i kritiske sektorer bør nu styrke risikostyring, ledelsesforankring og hændelsesrapportering.

DORA indfører bindende og harmoniserede krav til IKT-risikostyring, hændelsesrapportering, test og leverandørstyring for finansielle virksomheder. Fra januar 2025 holdes bestyrelser ansvarlige for robusthed, mens kritiske IKT-udbydere kan mødes af særskilt tilsyn.