NIS2-Direktiv Implementering

Hvad er NIS2-direktiv implementering?

NIS2 er EU's cybersikkerhedsdirektiv, formelt direktiv (EU) 2022/2555. I Danmark er det omsat til lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, i daglig tale NIS2-loven. Loven trådte i kraft den 1. juli 2025, og omfattede enheder skulle registrere sig senest den 1. oktober 2025.

NIS2-direktiv implementering er det praktiske arbejde med at flytte en organisation fra "loven gælder åbenbart for os" til "vi kan vise en tilsynsmyndighed, hvordan vi lever op til den". Det er ikke et rent it-projekt. Det er en blanding af jura, risikostyring, ledelsesarbejde og teknisk drift, og de fire dele skal hænge sammen, ellers falder papiret fra hinanden ved første kontrol.

Et forløb starter typisk med afklaringen: er vi omfattet? Tre forhold afgør det — om virksomheden hører til en af sektorerne i lovens bilag, hvor stor den er, og om den er omfattet uanset størrelse, fordi den har særlig betydning for samfundet. Styrelsen for Samfundssikkerhed stiller værktøjet NIS2-tjek til rådighed på sikkerdigital.dk til den første vurdering. Er man omfattet, bliver man kategoriseret som væsentlig eller vigtig enhed. Kravene til de to typer er i udgangspunktet ens, men tilsyn og sanktionsmuligheder er ikke ens: væsentlige enheder kan få større bøder end vigtige.

Derefter kommer selve implementeringen. Enheden skal registrere sig, indføre foranstaltninger til styring af cybersikkerhedsrisici og indberette væsentlige hændelser. Ledelsen skal tage ejerskab, forstå risikobilledet og selv uddannes — loven stiller krav direkte til medlemmer af ledelsesorganer, og i særlige tilfælde kan ledelsen pådrage sig personlige sanktioner. Forsyningskæden er et krav i sig selv: omfattede enheder skal vurdere sikkerheden i forholdet til deres leverandører og tjenesteudbydere. Det er derfor, at virksomheder, der slet ikke er omfattet af loven, alligevel bliver mødt med sikkerhedskrav i kontrakter og spørgeskemaer fra deres kunder.

Hændelsesdelen er den, der oftest er dårligst forberedt. Ved en væsentlig hændelse skal der sendes en tidlig varsling, derefter en mere fyldestgørende underretning og til sidst en endelig rapport. Fristerne står i loven og i den officielle vejledning om hændelsesunderretning. Indberetning sker via virk.dk, og indberetningerne håndteres af Forsvarets Efterretningstjeneste, som varetager opgaven som national CSIRT.

Et vigtigt praktisk forhold: NIS2 er ikke én lov for alle. Loven dækker størstedelen af direktivets sektorer, men energi-, tele- og finanssektoren er implementeret i særskilt lovgivning. Energisektoren hører under lov om styrket beredskab i energisektoren med tilhørende bekendtgørelse og Energistyrelsen som myndighed. Telesektoren hører under lov om sikkerhed og beredskab i telesektoren. Finanssektoren er dækket via lov om finansiel virksomhed, afstemt med DORA-forordningen og med Finanstilsynet som myndighed. En rådgiver, der ikke ved, hvilken af de love virksomheden er underlagt, giver forkert rådgivning fra første møde.

De problemer, området løser, er konkrete. Virksomheden ved ikke, om den er omfattet, og har ingen dokumenteret begrundelse for sit svar. Ledelsen skal godkende noget, den ikke forstår. Der findes en risikovurdering, men den kan ikke bruges til at prioritere noget. Sikkerhedsarbejdet foregår faktisk, men er ikke skrevet ned, så det ikke kan vises frem. Store kunder stiller krav, som ingen i huset kan svare på. Og der findes ingen aftalt fremgangsmåde for, hvem der gør hvad de første timer efter et angreb.

Efterspørgslen er drevet af, at tilsynet er gået fra vejledning til kontrol. Styrelsen for Samfundssikkerhed startede den 19. maj 2026 et surveybaseret tilsyn med alle 98 kommuner med en spørgeramme, der bygger på lovens foranstaltningsforpligtelser, og et antal kommuner udpeges bagefter til et dybere tilsyn. Styrelsen forventer i 2026 og 2027 brede surveybaserede tilsyn med kommuner og statslige forvaltningsenheder, suppleret af dybdegående emnebaserede tilsyn og tilsyn med registreringerne. For øvrige væsentlige enheder koordineres tilsynet med de andre kompetente myndigheder, som er udpeget i bekendtgørelse nr. 620 af 2. juni 2025.

Hvem arbejder med NIS2-direktiv implementering?

Der findes ingen beskyttet titel og ingen dansk autorisation på området. Arbejdet udføres af folk med tre forskellige baggrunde, og et godt forløb har normalt alle tre repræsenteret.

Den første gruppe er de informationssikkerheds- og GRC-faglige: informationssikkerhedskonsulenter, ISO'er og CISO'er, compliance managers og it-risikoansvarlige. De ejer risikovurderingen, foranstaltningerne, politikkerne og dokumentationen. Kommer man fra ISO 27001-arbejde eller fra GDPR-arbejde, er springet til NIS2 kort, fordi metoden er den samme: afdæk, vurder, beslut, dokumentér, følg op.

Den anden gruppe er juristerne. Advokater og jurister med it-ret og persondataret afgør de spørgsmål, hvor det faktisk er lovteksten, der bestemmer: om man er omfattet, om man er væsentlig eller vigtig, hvilken sektorlov der gælder, hvad der skal stå i leverandørkontrakterne, og hvad ledelsen reelt hæfter for. Den type spørgsmål bør ikke besvares af en tekniker med en tjekliste.

Den tredje gruppe er drifts- og teknikfolkene: it-arkitekter, netværks- og systemansvarlige, SOC-folk, beredskabskoordinatorer og — i forsyning, produktion og transport — OT-sikkerhedsspecialister, der kan arbejde med styresystemer og industrielt udstyr uden at stoppe produktionen. Uden dem bliver foranstaltningerne skrivebordsarbejde.

Dertil kommer interne auditorer og revisorer, der efterprøver, om det, der står på papiret, også er sådan i virkeligheden. Her er en habilitetspointe, som erfarne indkøbere holder øje med: den, der skal erklære sig om efterlevelsen, bør ikke være den samme, der har bygget den.

Hvornår hyrer man en enkelt specialist frem for et bureau? En specialist eller freelancer er det rigtige valg, når opgaven er afgrænset og fagligt tung: en gap-analyse mod lovens foranstaltninger, en vurdering af om I overhovedet er omfattet, at få ledelsen ordentligt gennem sin del, at skrive et sæt politikker, der passer til netop jeres drift, eller at fungere som lejet ISO nogle dage om måneden i en periode. Fordelen er, at man får samme person hele vejen, og at den person kender jeres virkelighed efter kort tid.

Et bureau eller konsulenthus er det rigtige valg, når bredden er problemet: flere sektorer eller flere lande på samme tid, både it og OT, mange lokationer, behov for at flere spor kører parallelt, eller behov for bagvagt og kontinuitet, så projektet ikke stopper, når én person bliver syg eller skifter job. Bureauet er også oftest svaret, hvis I samtidig skal have hjælp til tekniske tests, awareness-forløb og løbende overvågning.

Et tredje mønster er værd at kende: mange organisationer bruger en ekstern specialist til at lægge planen og gøre ledelsen klar, og deres eget driftspersonale til at gennemføre den. Det er billigere og giver bedre forankring end at lade en ekstern part udføre det hele, men det kræver, at der er nogen internt til at tage over.

Kurser og uddannelser i NIS2-implementering

Der findes ingen dansk statslig NIS2-uddannelse og intet certifikat, som loven kræver. Det, markedet reelt anerkender, er en kombination af en formel efteruddannelse på området, en international personcertificering i informationssikkerhed og dokumenteret erfaring med mindst ét helt implementeringsforløb.

Af de korte, målrettede kurser er de mest kendte danske:

Dansk Standard udbyder diplomkurset NIS2 i praksis, hvor ISO/IEC 27001 bruges som ramme for at efterleve NIS2-loven, samt ISO/IEC 27001 Lead Implementer og ISO/IEC 27005 Risk Manager, der begge fører til PECB-personcertificering, og et kursus om topledelsens rolle og ansvar. Standarderne ISO/IEC 27001 og ISO/IEC 27002 udleveres på Lead Implementer-kurset.

DNV udbyder NIS2 Foundation og et kort kursus i NIS2 for topledelse og bestyrelsesmedlemmer, som findes, fordi loven kræver, at ledelsen uddannes. Det sidste er en oplagt måde at få en bestyrelse gennem sin del uden at bruge et helt projekt på det.

Priser oplyses af udbyderen. De skifter, og de afhænger af, om kurset tages som åbent kursus eller som firmakursus.

Af de formelle uddannelsesveje er der to, som fagfolk faktisk går:

Diplomuddannelsen i it-sikkerhed er en deltidsefteruddannelse på bachelorniveau, normeret til 60 ECTS, med tre obligatoriske moduler, valgfag og et afgangsprojekt. Den udbydes af flere erhvervsakademier og professionshøjskoler, blandt andre Erhvervsakademi Aarhus, UCL, UCN act2learn og Erhvervsakademi København. For NIS2-arbejde er modulerne om sikkerhed i it-governance og videregående sikkerhed i it-governance de mest relevante, og de kan tages enkeltvis som selvstændige forløb. Adgang kræver en relevant videregående uddannelse og typisk to års relevant erhvervserfaring, eller en realkompetencevurdering.

Syddansk Universitet udbyder en master i cybersikkerhed og risikohåndtering, der kan læses som helt forløb eller i moduler, og som netop dækker governance, lovkrav som NIS2 og GDPR, og omsætningen af risikovurderinger til beslutninger. Den er tilrettelagt til folk, der allerede arbejder med drift, ledelse eller compliance.

Af personcertificeringer er de, danske indkøbere genkender, CISM og CISA fra ISACA, CISSP fra ISC2 og ISO/IEC 27001 Lead Implementer eller Lead Auditor. Ingen af dem er et lovkrav, og ingen af dem er et NIS2-bevis. De viser, at personen kan arbejde struktureret med henholdsvis sikkerhedsledelse, revision og ledelsessystemer — resten skal vises med referencer.

Et ærligt forbehold: NIS2-implementering er ikke en færdighed, man får på et weekendkursus. Et tredagskursus giver overblik over lovens krav og et fælles sprog. Selve håndværket — at kunne skrive en risikovurdering, ledelsen kan bruge til at prioritere, og som holder ved et tilsyn — læres ved at gennemføre et forløb sammen med nogen, der har gjort det før.

Standardværker og ressourcer om NIS2-implementering

Der findes ikke et dansk standardværk om NIS2 i bogform. Fagfolk arbejder ud fra loven, myndighedernes vejledninger og standarderne, og bruger bøgerne til metoden bag.

De primære kilder er lovteksten selv på retsinformation.dk og de fire tværgående NIS2-vejledninger fra Styrelsen for Samfundssikkerhed, som dækker anvendelsesområdet, ledelsens rolle og opgaver, foranstaltninger og hændelsesunderretning. Der findes desuden en kommunespecifik vejledning. Vejledningerne er det tætteste, man kommer på en officiel dansk fortolkning, og de er dermed også målestokken ved et tilsyn.

En undervurderet ressource er spørgerammen til det kommunale tilsyn 2026, som Styrelsen for Samfundssikkerhed har offentliggjort. Den bygger på lovens foranstaltningsforpligtelser og viser i praksis, hvad en myndighed spørger om. Selv i en privat virksomhed kan den bruges som selvtest. KL har desuden udgivet en kommunal NIS2-drejebog, der oversætter kravene til kommunal hverdag, og hvis kapitler om ledelsesansvar og risikovurdering også kan læses med udbytte uden for kommunerne.

På EU-niveau er de to vigtigste dokumenter Kommissionens gennemførelsesforordning (EU) 2024/2690, der gør de tekniske og metodiske krav konkrete for udvalgte digitale sektorer, og ENISA's tekniske implementeringsvejledning til den forordning. ENISA-vejledningen er ikke bindende, men den er den mest brugbare tekst, der findes: den forklarer kravene tema for tema, giver eksempler på, hvilken dokumentation der kan bruges som bevis, og indeholder tabeller, der kobler kravene til europæiske og internationale standarder. ENISA har også udgivet en kobling mellem NIS2-forpligtelserne og rolleprofilerne i European Cybersecurity Skills Framework, som er nyttig, når man skal beskrive, hvem der skal kunne hvad.

Af standarder er ISO/IEC 27001 og ISO/IEC 27002 de bærende. De kan købes gennem Dansk Standard og bruges i praksis som skelet for NIS2-arbejdet, fordi et ledelsessystem for informationssikkerhed dækker en stor del af lovens foranstaltninger. ISO/IEC 27005 bruges til risikovurderingsmetoden, ISO 22301 til driftskontinuitet og beredskab. CIS Controls fra Center for Internet Security bruges af mange som en konkret, prioriteret liste over tekniske foranstaltninger, når standarderne bliver for abstrakte for driftsfolkene.

Af bøger peger folk i ISO-sporet oftest på Alan Calder og Steve Watkins' IT Governance, en gennemgang af informationssikkerhedsstyring efter ISO 27001 og ISO 27002, og på Calders Nine Steps to Success, der beskriver et implementeringsforløb trin for trin. Ingen af dem handler om NIS2, men de dækker metoden, som NIS2-arbejdet bygger på.

Endelig hører de sektorspecifikke kilder med, hvis virksomheden ligger der: Energistyrelsen for energisektoren, Finanstilsynet for finanssektoren og DORA, og Styrelsen for Samfundssikkerhed for teleområdet. Oversigten over, hvilken myndighed der fører tilsyn med hvilken sektor, findes hos Styrelsen for Samfundssikkerhed og i bekendtgørelsen om udpegning af kompetente myndigheder.