Er din virksomhed klar til NIS2?

De første vejledninger til NIS2-loven er netop offentliggjort og giver væsentlig afklaring af både anvendelsesområde og ledelsens ansvar. Her er de vigtigste pointer.
 

Hele enheden er omfattet

Hvis blot én del af en enhed er omfattet af NIS2-loven, gælder loven for hele enheden. Det samme gælder, hvis en enhed har aktiviteter i flere sektorer, og én af dem vurderes som væsentlig – da betragtes hele enheden som væsentlig i NIS2-forstand.
 

Størrelsen vurderes samlet

Enhedens størrelse skal vurderes på baggrund af hele enheden – ikke kun den del, der beskæftiger sig med den aktivitet, der gør, at enheden er omfattet af en sektor i NIS2-lovens bilag. For at undgå, at enheder skifter kategori som følge af udsving i f.eks. regnskabsår, gælder det dog, at en enhed først ændrer kategori (f.eks. fra lille til mellemstor), hvis grænseværdierne overskrides to regnskabsår i træk.
 

Registrering starter 1. juli 2025

Vejledningen præciserer, at enheder kan begynde at registrere sig på virk.dk fra lovens ikrafttræden den 1. juli 2025. Det er enhedens eget ansvar at vurdere, om den er omfattet af NIS2-loven – og i givet fald foretage registrering. 

Som udgangspunkt skal registrering ske senest to uger efter, at enheden bliver omfattet. Der er dog indført en overgangsbestemmelse, som betyder, at denne frist ikke gælder fra selve ikrafttrædelsen. I stedet skal alle omfattede enheder være registreret senest den 1. oktober 2025.
 

Leverandører kan blive mødt med krav

Enheder, der ikke selv er omfattet af NIS2-loven, kan stadig blive mødt med krav om cybersikkerhedsforanstaltninger, hvis de leverer varer eller tjenester til en NIS2-enhed. Det betyder dog ikke, at disse leverandører skal leve op til de samme krav som NIS2-enheden selv – eller være certificeret på en særlig måde.
 

Ledelsen har det overordnede ansvar

Vejledningen om ledelsens rolle tydeliggør, at ledelsen skal:

• Godkende cybersikkerhedsforanstaltninger
• Føre tilsyn med implementeringen
• Gennemføre kurser og opbygge relevante kompetencer
• Sikre udbud af relevante kurser til medarbejdere
• Tage ansvar for enhedens overholdelse af NIS2-loven

Kort sagt: Cybersikkerhed er ikke længere blot et IT-anliggende – det er et ledelsesansvar.

Er du i tvivl om, hvordan NIS2-loven påvirker din virksomhed?

Du er meget velkommen til at kontakte os for en uforpligtende snak.