Ledelsesgodkendt informationssikkerhedspolitik med oversigt over kritiske leverandører. Bruges både af virksomheder der selv er omfattet af NIS2, og af underleverandører der bliver mødt med sikkerhedskrav fra deres kunder.
Det afhænger af hvad I laver, sælger og importerer. Tjekket stiller nogle få spørgsmål og svarer for dette og de øvrige regelsæt på én gang.
Tjek om det gælder jer GRATIS · INGEN LOGIN
Om en virksomhed er omfattet afhænger af sektor, størrelse og aktivitet. Er I i tvivl, bør spørgsmålet afklares med den myndighed der fører tilsyn med jeres sektor.
Allerede indtrådt:
Kildeverificeret 26. juli 2026 mod den danske sprogudgave af direktivet på EUR-Lex, for så vidt angår artikel 20 og 21. Citaterne nedenfor er ordrette.
Retskilde: Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022
Vigtigt: NIS2 er et direktiv. Det gælder ikke direkte i Danmark, men gennem den danske gennemførelseslovgivning. De danske regler er ikke verificeret i dette modul — se forbeholdet nederst.
Artiklen hedder "Styring" og indeholder to forpligtelser, der begge rammer ledelsen personligt.
Stk. 1 — godkendelse, tilsyn og ansvar:
Medlemsstaterne sikrer, at de væsentlige og vigtige enheders ledelsesorganer godkender de foranstaltninger til styring af cybersikkerhedsrisici, som disse enheder har truffet med henblik på at overholde artikel 21, fører tilsyn med dens gennemførelse og kan gøres ansvarlige for enhedernes overtrædelser af forpligtelserne i nævnte artikel.
Stk. 2 — kursuspligt:
Medlemsstaterne sikrer, at medlemmerne af væsentlige og vigtige enheders ledelsesorganer er forpligtet til at følge kurser, og skal tilskynde væsentlige og vigtige enheder til løbende at tilbyde tilsvarende kurser til deres ansatte, således at de opnår tilstrækkelige kundskaber og færdigheder til at kunne identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici og deres indvirkning på de tjenester, der leveres af enheden.
Bemærk asymmetrien: ledelsen skal følge kurser. For de ansatte er der tale om en tilskyndelse.
Stk. 1 fastsætter målestokken:
… passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer …
Og videre om proportionaliteten:
Ved vurderingen af proportionaliteten af disse foranstaltninger tages der behørigt hensyn til graden af enhedens eksponering for risici, enhedens størrelse og sandsynligheden for hændelser og deres alvor, herunder deres samfundsmæssige og økonomiske indvirkning.
Kravene er altså relative til virksomhedens størrelse og risiko — ikke en fast liste alle skal opfylde ens.
Stk. 2 opregner minimumsindholdet. Modulets afkrydsningsliste følger denne opregning punkt for punkt:
| Litra | Foranstaltning |
|---|---|
| a | politikker for risikoanalyse og informationssystemsikkerhed |
| b | håndtering af hændelser |
| c | driftskontinuitet, såsom backup-styring og reetablering efter en katastrofe, og krisestyring |
| d | forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere |
| e | sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder |
| f | politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici |
| g | grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse |
| h | politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering |
| i | personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver |
| j | brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt i enheden, hvor det er relevant |
Stk. 3 uddyber hvad forsyningskædesikkerhed indebærer:
… tager hensyn til de sårbarheder, der er specifikke for hver direkte leverandør og tjenesteudbyder, og den generelle kvalitet af deres leverandørers og tjenesteudbyderes produkter og cybersikkerhedspraksis, herunder deres sikre udviklingsprocedurer.
Pligten efter litra d påhviler den omfattede virksomhed. Men fordi den skal tage hensyn til sine direkte leverandørers cybersikkerhedspraksis, vandrer kravene i praksis ned gennem kæden som kontraktkrav — også til leverandører der ikke selv er omfattet.
Det er dét, dette modul først og fremmest løser. Svaret på "har I en informationssikkerhedspolitik godkendt af ledelsen?" behøver ikke være en firs siders rapport.
⚠️ Følgende bygger fortsat på sekundære kilder og skal gennemgås mod primære retskilder:
Tilsynet med NIS2 i Danmark er fordelt på de myndigheder, der i forvejen fører tilsyn med den enkelte sektor. Center for Cybersikkerhed varetager rollen som national cybersikkerhedsmyndighed.
Er virksomheden ikke selv omfattet, er der ikke noget tilsyn — men kunden fungerer i praksis som kontrolinstans gennem kontrakten.
Uanset om det er et tilsyn eller en kunde, går de samme punkter igen:
For virksomheder der selv er omfattet, kan manglende overholdelse føre til påbud, bøder og — for væsentlige enheder — indgreb over for ledelsen. Bødeniveauet afhænger af, om virksomheden er kategoriseret som væsentlig eller vigtig enhed.
For underleverandører, der ikke selv er omfattet, er konsekvensen kontraktretlig: kunden kan kræve dokumentation, stille krav om udbedring eller i sidste ende opsige aftalen.
Skønsmæssigt er omkring 6.000 danske organisationer direkte omfattet. Opgørelser fra 2026 peger på, at kun en mindre del af dem vurderer sig selv som klar. Antallet af virksomheder, der berøres indirekte gennem leverandørkrav, er væsentligt større.
Det er teknisk rigtigt og praktisk forkert. Er I underleverandør til en omfattet virksomhed, kommer kravene til jer gennem kontrakten. Forskellen er, at I ikke har et tilsyn i ryggen — I har en kunde, der kan finde en anden leverandør.
Politikken beskriver noget I ikke gør. Det er den alvorligste fejl. Står der at backup afprøves kvartalsvis, og det ikke sker, er dokumentet et problem frem for en beskyttelse — både over for kunden og ved et tilsyn. Vælg kun de foranstaltninger I faktisk har.
Leverandørerne springes over. Leverandørstyring er det punkt flest kommer til kort på, og samtidig det kundernes spørgeskemaer rammer hårdest. Start med at skrive ned hvem der er kritiske — det er halvdelen af arbejdet.
Ingen ledelsesgodkendelse. NIS2 lægger ansvaret hos ledelsen. En politik uden dato og underskrift svarer ikke på det spørgsmål kunden stiller.
Dokumentet gøres for stort. Firs siders sikkerhedsdokumentation er ikke bedre end fire sider — den bliver bare ikke læst, ikke opdateret og ikke fulgt.
Backup uden afprøvet gendannelse. En backup ingen har prøvet at gendanne fra er en antagelse. Spørgeskemaerne spørger ofte direkte til det.
Hvor lang skal politikken være? To til fire sider dækker de fleste mindre virksomheder. Det afgørende er at den er dækkende for jeres faktiske forhold og godkendt af ledelsen.
Hvad hvis vi ikke har alle foranstaltningerne? Så vælger I dem I har. Et ærligt dokument, der viser hvor I står, er både mere brugbart og mere holdbart end et der lover for meget.
Hvor ofte skal den opdateres? Årligt, og derudover når I får nye kritiske leverandører eller ændrer væsentligt på systemerne.
Skal vi underrette myndighederne ved et sikkerhedsbrud? Er I selv omfattet, gælder der underretningspligt ved væsentlige hændelser. Er I det ikke, følger jeres forpligtelser af kontrakten med kunden.
Virksomheder i de sektorer NIS2 omfatter, som overskrider bestemte størrelsestærskler. Er underlagt løbende tilsyn.
Virksomheder i de omfattede sektorer, som ikke når op på tærsklerne for væsentlig enhed. Samme sikkerhedskrav, men tilsynet er efterfølgende frem for løbende.
Forveksles med: Væsentlig enhed. Forskellen ligger i tilsynsform og bødeniveau — ikke i hvilke sikkerhedsforanstaltninger der kræves.
Pligten til at tage højde for sikkerheden i forholdene til sine direkte leverandører og tjenesteudbydere. Ved vurderingen skal der tages hensyn til sårbarheder der er specifikke for hver enkelt leverandør, og til den generelle kvalitet af deres produkter og cybersikkerhedspraksis, herunder deres sikre udviklingsprocedurer.
Forveksles med: Den danske lovtekst siger forsyningskædesikkerhed, ikke leverandørkædesikkerhed. Og pligten påhviler kun den omfattede virksomhed — men i praksis vandrer kravene ned gennem kæden som kontraktkrav til leverandører der ikke selv er omfattet.
Medlemmerne af ledelsesorganet skal selv følge kurser, så de kan identificere risici og vurdere metoderne til styring af cybersikkerhedsrisici. Virksomheden skal desuden tilskyndes til løbende at tilbyde tilsvarende kurser til de ansatte.
Forveksles med: Medarbejderuddannelse. Kursuspligten retter sig mod ledelsen selv; for de ansatte er der tale om en tilskyndelse.
En hændelse der har medført alvorlige driftsforstyrrelser, økonomisk tab eller betydelig skade for andre. Udløser underretningspligt for omfattede virksomheder.
Et ledelsesgodkendt dokument der beskriver hvilke systemer og data der beskyttes, hvilke foranstaltninger der er indført, og hvem der har ansvaret.
Forveksles med: En teknisk sikkerhedsstandard. Politikken er ledelsens dokument og fylder typisk to til fire sider — ikke firs.
Mange virksomheder opdager først NIS2 når der lander et spørgeskema fra deres største kunde. Gennemgangen her følger de punkter de spørgeskemaer oftest indeholder.
Tag selvtjekket (8 punkter) GRATIS