NIS2-direktivet er nu gældende dansk lovgivning — og mange virksomheder er stadig ikke klar. Her er hvad du skal vide.
Hvad er NIS2?
NIS2 (Network and Information Security Directive 2) er EU’s opdaterede cybersikkerhedsdirektiv, der trådte i kraft i Danmark den 1. juli 2025. Det erstatter det oprindelige NIS-direktiv og udvider kravene markant — både i bredde (flere sektorer) og dybde (strengere krav).
Hvem er omfattet?
NIS2 rammer virksomheder i 18 sektorer, herunder:
- Finanssektoren — banker, betalingsinstitutter, kapitalforvaltere
- Sundhedssektoren — hospitaler, medicinalvirksomheder, laboratorier
- Transport — jernbaner, luftfart, logistik
- Digital infrastruktur — cloud-udbydere, datacentre, DNS-udbydere
- Fremstilling — lægemidler, medicinsk udstyr, kemikalier
Virksomheder inddeles i to kategorier: væsentlige enheder og vigtige enheder — med forskellig tilsynsintensitet.
Hvad kræver NIS2 konkret?
De primære krav dækker fire områder:
1. Risikostyring
Virksomheden skal have dokumenterede processer for at identificere, vurdere og håndtere cybersikkerhedsrisici — inklusiv leverandørrisici.
2. Hændelseshåndtering
Alvorlige sikkerhedshændelser skal rapporteres til myndighederne inden for 24 timer (første notifikation) og 72 timer (fuld rapport).
3. Forretningskontinuitet
Business Continuity Management (BCM) og disaster recovery-planer skal være på plads og testet.
4. Ledelsesansvar
Bestyrelse og direktion er personligt ansvarlige for overholdelse. Manglende efterlevelse kan medføre bøder op til €10 mio. eller 2% af den globale omsætning.
Hvad er de typiske mangler?
Baseret på vores erfaringer fra finanssektoren og life science ser vi typisk disse huller:
- Manglende Identity & Access Management (IAM) — privilegerede konti uden MFA eller PIM
- Ingen dokumenteret sårbarhedshåndtering (Vulnerability Management)
- Utilstrækkelig leverandørsikkerhed — tredjepart med for brede adgangsrettigheder
- Manglende awareness-træning for medarbejdere
Kom i gang
NIS2-compliance er ikke et engangsprojekt — det er en løbende proces. Et godt startpunkt er en struktureret sikkerhedsanalyse, der kortlægger jeres nuværende modenhed op mod direktivets krav.
Jeg hjælper danske virksomheder med NIS2, fra gap-analyse til implementering. Book en uforpligtende samtale på 30 minutter.