Intro til NIS2

NIS2 er en del af en større lovgivningspakke fra EU, der har fokus på cybersikkerhed og cyberresiliens. 

I Danmark danner lovgivningspakken fra EU grundlag for en række nationale love, hvor NIS2 er det grundlag der er relevant for flest virksomheder. 

Det forventes at ca. 2.000 danske virksomheder bliver direkte omfattet af den nye lovgivning, men flere virksomheder bliver sandsynligvis nødt til at leve op til de skærpede krav pga. anmodninger fra kunderne. 

Der introduceres som udgangspunkt fire lovgivninger, hvor tre lovgivninger er rettet imod Finanssektoren, Telekommunikation og Energisektoren. Den fjerde lovgivning kommer til at dække andre kritiske sektorer. 

Hvem er omfattet af NIS2?

I NIS2 er der to hovedgrupper af sektorer. Der stilles identiske krav til henholdsvis de “vigtige” og “væsentlige” sektorer, men der bliver forskel på den kontrolindsats, myndighederne kommer til at foretage. 

Som lovforslaget ser ud i efteråret 2024, vil de “vigtige sektorer” blive underlagt skarpere kontrol fra myndighederne. 

Hvornår træder lovgivningen i kraft?

Lovgivningen ventes at træde i kraft 1. juli 2025.  

Som virksomhed omfattet af NIS2, skal man i første omgang være opmærksom på datoen 17. april 2025. Her skal virksomheden registrere sig hos de(n) relevante myndighed(er), der har tilsynet med den sektor man tilhører.  

Det er virksomhederne selv der har ansvaret for at vurdere om de er omfattet af NIS2. Vi hjælper naturligvis gerne med at danne jer et overblik over, hvorvidt I er omfattet af NIS2 eller ej og i hvilket omfang.

Ansvar og sanktioner

En del af formålet med NIS2 er at løfte informations- og cybersikkerhed op til et virksomhedsstrategisk anliggende for den øverste ledelse.  

Dermed bliver ansvaret for informations- og cybersikkerhed i sidste ende et bestyrelsesanliggende. Det stiller en række nye krav til bestyrelsesmedlemmer og den øvrige ledelse, herunder krav til ledelsens kendskab til og forståelse for informationssikkerhed. 

Med NIS2 kommer også mulighed for at myndighederne kan uddele bøder til såvel virksomheden som ledelsesmedlemmerne personligt.  

I sidste ende kan myndighederne fratage medlemmer af ledelsen retten til at udøve ledelse af virksomheden.