Hvad er NIS2 i korte træk?
NIS2 er EU's direktiv om cybersikkerhed — et sæt fælles minimumskrav til, hvordan virksomheder i vigtige brancher skal beskytte deres it-systemer og håndtere sikkerhedshændelser. Det er efterfølgeren til det første NIS-direktiv og dækker markant flere brancher og langt flere virksomheder end tidligere.
I Danmark implementeres direktivet gennem dansk lovgivning med tilsyn fra de relevante sektormyndigheder. Direktivet gælder ikke kun store selskaber: mange mellemstore virksomheder i de nævnte brancher er også omfattet.
Hvem er omfattet?
NIS2 deler virksomheder i to grupper: yderst centrale og centrale enheder. Hvilken gruppe I tilhører, afhænger af branche og størrelse.
- Yderst centrale: energi, transport, sundhed, finans, digital infrastruktur og offentlige myndigheder — typisk mellemstore og store virksomheder.
- Centrale: bl.a. fødevareproduktion, kemikalier, post- og kurertjenester, affaldshåndtering, produktion af visse varer og digitale tjenester som webshops og søgemaskiner.
- Som udgangspunkt rammer NIS2 virksomheder med 50+ ansatte eller over 10 mio. euro i omsætning i de nævnte brancher — men enkelte mindre virksomheder kan også være omfattet, hvis de leverer samfundskritiske tjenester.
Hvilke krav stiller NIS2?
Direktivet kræver, at I arbejder systematisk med cybersikkerhed. Det drejer sig konkret om:
- Risikoanalyser og dokumenterede sikkerhedspolitikker.
- Håndtering af sikkerhedshændelser, herunder beredskabsplaner og fortsat drift ved nedbrud.
- Forsyningskædesikkerhed — også krav til jeres it-leverandører.
- Sikkerhed ved indkøb, udvikling og vedligeholdelse af it-systemer, herunder kryptering og multifaktorgodkendelse.
- Regelmæssig test og vurdering af, om tiltagene rent faktisk virker.
- Pligt til at anmelde væsentlige hændelser til myndighederne inden for stramme frister (24 timer for tidlig varsling, 72 timer for hændelsesbeskrivelse).
Hvad kan det koste at ignorere NIS2?
For yderst centrale virksomheder kan bøderne løbe op i 10 mio. euro eller 2 % af den globale omsætning. For centrale virksomheder er loftet 7 mio. euro eller 1,4 % af omsætningen. Direktivet åbner desuden for direkte ledelsesansvar — direktionen kan stilles til regnskab for manglende sikkerhedsarbejde.
Hvordan kommer I i gang?
Start med at afklare, om I er omfattet, og hvilken gruppe I tilhører. Foretag derefter en gennemgang af jeres nuværende sikkerhedsniveau op mod kravene — en såkaldt gap-analyse. Herfra kan I prioritere de vigtigste tiltag først: hændelseshåndtering, adgangskontrol og leverandørkrav er typisk de første punkter.
For de fleste mellemstore virksomheder er det realistisk at klare gap-analysen med ekstern hjælp og derefter løfte de konkrete tiltag internt. En specialist med NIS2-erfaring kan typisk afdække jeres status på få uger.