NIS2

NIS2 er et EU-direktiv, der skal hæve cybersikkerhedsniveauet på tværs af medlemslandene. Reglerne stiller krav til blandt andet risikostyring, ledelsesansvar, hændelseshåndtering og rapportering for omfattede offentlige og private enheder i kritiske sektorer.

Hvorfor er begrebet vigtigt?

NIS2 er vigtigt, fordi cyberangreb mod kritiske tjenester kan påvirke både virksomheder, borgere og samfundet. Reglerne skal derfor sikre, at omfattede organisationer arbejder systematisk og dokumenterbart med cybersikkerhedsrisici.

I Danmark er direktivet gennemført gennem NIS 2-loven, som trådte i kraft den 1. juli 2025. Loven omfatter udvalgte offentlige og private enheder inden for sektorer af særlig kritisk betydning og andre kritiske sektorer.

Typisk misforståelse

Den mest almindelige fejl er at tro, at NIS2 kun handler om tekniske sikkerhedsprodukter. Kravene omfatter også ledelsens ansvar, politikker, leverandørstyring, beredskab, uddannelse, dokumentation og løbende vurdering af sikkerhedsforanstaltningerne.

Eksempel

En virksomhed, der er omfattet af NIS 2-loven, kortlægger sine vigtigste systemer og leverandører. Den gennemfører risikovurderinger, fastlægger procedurer for sikkerhedshændelser og sikrer, at ledelsen godkender og følger op på indsatsen.

Best practice

• Afklar om virksomheden er omfattet af NIS 2-loven.

• Placér et tydeligt ansvar hos ledelsen og relevante systemejere.

• Gennemfør dokumenterede risikovurderinger.

• Etablér procedurer for hændelser, rapportering og driftskontinuitet.

• Inddrag leverandører, adgangsstyring, backup og medarbejderuddannelse.