NIS2: Cybersikkerhed og ansvar stopper ikke ved installationen
Cybersikkerhed er ikke længere kun en intern disciplin. Med NIS2 følger nye krav til dokumentation, risikostyring og samarbejde på tværs af værdikæden.
NIS2 og leverandørkæden
Selvom din virksomhed ikke er direkte omfattet af NIS2, kan den stadig blive påvirket gennem krav fra kunder og samarbejdspartnere.
NIS2 stiller skærpede krav til cybersikkerheden i samfundskritiske og økonomisk betydningsfulde sektorer. Det omfatter blandt andet risikostyring, dokumentation og sikkerhed i forsyningskæden.
For virksomheder, der leverer eller installerer netværksforbundne løsninger til eksempelvis adgangskontrol, dørtelefoni og kommunikationssystemer, betyder det, at kunderne i stigende grad kan efterspørge dokumentation for produktsikkerhed, korrekt installation og løbende vedligeholdelse.
Cybersikkerhed er derfor en fælles opgave, der kræver klare aftaler mellem slutkunde, installatør og leverandør.
Hvad er NIS2?
NIS2 er EU's direktiv om cybersikkerhed i samfundskritiske og økonomisk betydningsfulde sektorer. Direktivet skal styrke organisationers evne til at forebygge, håndtere og komme sig efter cyberangreb og andre sikkerhedshændelser.
I Danmark er NIS2 primært implementeret gennem NIS 2-loven, som trådte i kraft den 1. juli 2025. Loven stiller blandt andet krav til risikostyring, ledelsesansvar, beredskab og sikkerhed i forsyningskæden.
Hvem er omfattet?
NIS2 omfatter primært mellemstore og store virksomheder og organisationer inden for bestemte samfundskritiske og økonomisk betydningsfulde sektorer. Om en virksomhed er direkte omfattet, afhænger blandt andet af dens aktiviteter, størrelse og de særlige regler for den pågældende sektor.
Det gælder blandt andet virksomheder og organisationer inden for:
Energi, transport og sundhed
Finans og digital infrastruktur
Offentlig forvaltning
Fødevareproduktion og affaldshåndtering
Som udgangspunkt er virksomheder i de omfattede sektorer omfattet, hvis de har mindst 50 ansatte eller både en årlig omsætning og en årlig balancesum på over 10 mio. euro. Der gælder dog særlige regler og undtagelser, og visse virksomheder kan være omfattet uanset størrelse.
At være leverandør til en NIS2-omfattet virksomhed betyder ikke automatisk, at man selv er direkte omfattet af loven. Kunden kan imidlertid stille krav til leverandørens cybersikkerhed, dokumentation, opdateringer og håndtering af sikkerhedshændelser som led i arbejdet med at sikre forsyningskæden.
Det er derfor vigtigt at vurdere både virksomhedens egne lovmæssige forpligtelser og de sikkerhedskrav, der følger af samarbejdet med kunder og leverandører.
Slutkunden har det overordnede ansvar for compliance.
Installatøren har ansvaret for korrekt installation og drift.
Leverandører som Freund bidrager med sikre produkter, opdateringer og nødvendig dokumentation.
Hvilke krav stiller NIS2?
NIS2 stiller krav til, hvordan omfattede virksomheder og organisationer arbejder systematisk med cybersikkerhed. Det handler både om at forebygge angreb, begrænse konsekvenserne af sikkerhedshændelser og sikre, at kritiske funktioner kan opretholdes.
De centrale krav omfatter blandt andet:
Risikostyring: Systematiske risikovurderinger, sikkerhedspolitikker og passende beskyttelsesforanstaltninger.
Hændelseshåndtering: Procedurer til at opdage, reagere på og håndtere sikkerhedshændelser.
Driftskontinuitet: Backup, beredskabsplaner og muligheder for at genetablere driften efter en hændelse.
Forsyningskædesikkerhed: Vurdering og håndtering af cybersikkerhedsrisici hos leverandører og samarbejdspartnere.
Adgangskontrol: Styring af brugerrettigheder, adgang til systemer og beskyttelse af kritiske ressourcer.
Tekniske sikkerhedsforanstaltninger: Eksempelvis kryptering, multifaktorautentificering og sikker vedligeholdelse af systemer.
Uddannelse og sikkerhedsbevidsthed: Relevant træning af medarbejdere og ledelse samt fokus på sikker adfærd i hverdagen.
Kravene skal tilpasses organisationens risici, størrelse og aktiviteter. Det afgørende er, at cybersikkerhed bliver en dokumenteret og løbende del af virksomhedens drift.
Tidslinje og vigtige datoer
-
NIS2 træder i kraft i EU
EU-direktivet træder i kraft med det formål at styrke cybersikkerheden i samfundskritiske og økonomisk betydningsfulde sektorer.
-
EU's gennemførelsesfrist
Fristen for EU-medlemslandenes gennemførelse af NIS2-direktivet i national lovgivning. Den danske implementering sker efter denne dato.
-
Den danske NIS 2-lov træder i kraft
NIS 2-loven træder i kraft i Danmark og stiller krav til blandt andet risikostyring, ledelsesansvar, beredskab og sikkerhed i forsyningskæden.
-
Registreringsfrist for omfattede virksomheder
Frist for registrering af virksomheder og organisationer, der var omfattet af registreringspligten ved lovens ikrafttræden.
-
Cybersikkerhed og dokumentation
Omfattede virksomheder skal løbende arbejde med risikostyring, sikkerhedsforanstaltninger, dokumentation og beredskab samt indberette væsentlige sikkerhedshændelser efter gældende regler.
Rapportering af sikkerhedshændelser
Virksomheder og organisationer, der er omfattet af NIS2, skal indberette væsentlige sikkerhedshændelser til de relevante myndigheder. Indberetningen foregår i flere trin, så myndighederne hurtigt får kendskab til hændelsen og efterfølgende modtager mere detaljerede oplysninger.
Inden for 24 timer – tidlig varsling: Virksomheden skal give en indledende underretning, når den bliver bekendt med en væsentlig sikkerhedshændelse.
Inden for 72 timer – hændelsesunderretning: Virksomheden skal følge op med en foreløbig vurdering af hændelsens alvor, omfang og konsekvenser.
Senest én måned efter hændelsesunderretningen – endelig rapport: Virksomheden skal indsende en mere detaljeret redegørelse for hændelsen, dens sandsynlige årsager og de foranstaltninger, der er iværksat.
Hvis hændelsen fortsat er i gang, når den endelige rapport skal afleveres, gælder særlige regler om statusrapportering og efterfølgende afslutning.
Hvad betyder det for leverandører?
Selvom en leverandør ikke selv er direkte omfattet af NIS2, kan kunder stille krav om hurtig orientering ved sikkerhedshændelser. Det kan eksempelvis omfatte oplysninger om berørte produkter, kendte sårbarheder, sikkerhedsopdateringer og anbefalede afhjælpende foranstaltninger.
Klare aftaler om kommunikation og ansvarsfordeling er derfor en vigtig del af samarbejdet mellem kunde, installatør og leverandør.
Konsekvenser og ansvar
NIS2 stiller krav til både organisationens ledelse og dens arbejde med cybersikkerhed. Manglende efterlevelse kan føre til myndighedstilsyn, påbud og økonomiske sanktioner. Reglerne kan desuden få indirekte betydning for leverandører og installatører.
Ledelsesansvar
Ledelsen i omfattede virksomheder skal godkende og føre tilsyn med cybersikkerhedsforanstaltningerne. Den skal have den nødvendige viden til at forstå risiciene og sikre, at cybersikkerhed bliver en integreret del af virksomhedens styring.
Myndighedstilsyn
De relevante myndigheder kan føre tilsyn med, om virksomheder overholder NIS2-kravene. Det kan blandt andet omfatte kontrol af risikovurderinger, dokumentation, sikkerhedsprocedurer og gennemførte foranstaltninger. Myndighederne kan kræve, at mangler bliver rettet.
Sanktioner og bøder
Manglende efterlevelse kan medføre påbud og bøder. NIS2-direktivet fastsætter bøderammer på mindst 10 mio. euro eller 2 % af den globale årsomsætning for væsentlige enheder og mindst 7 mio. euro eller 1,4 % for vigtige enheder. Den konkrete sanktion afhænger af national lovgivning og overtrædelsens omstændigheder.
Ansvar i leverandørkæden
Leverandører og installatører er ikke automatisk omfattet af NIS2, fordi deres kunder er det. Kunderne kan dog stille krav til dokumentation, sikker installation, opdateringer og håndtering af sikkerhedshændelser. Klare aftaler om ansvar og vedligeholdelse er derfor afgørende.
Konklusion
NIS2 betyder kort sagt, at cybersikkerhed bliver en forretningskritisk disciplin og at ansvaret ikke stopper ved installationen – men fortsætter i hele løsningens levetid.
Hvis du vil være på forkant med NIS2 – og samtidig styrke dine løsninger - så er løbende opdatering og dokumenteret sikkerhed et rigtig godt sted at starte.
Cybersikkerhed handler om mere end NIS2
NIS2 stiller krav til cybersikkerhed og risikostyring hos omfattede organisationer. Men cybersikkerhed handler også om sikker installation, produktkrav og beskyttelse af trådløst udstyr. Læs mere om IEC 62443, Cyber Resilience Act og RED i Freunds samlede oversigt over cybersikkerhed.
Se Freunds vejledninger om cybersikkerhedEr NIS2 og CRA det samme?
Det korte svar er nej, det er ikke det samme, men de hænger uløseligt sammen.
NIS2 og Cyber Resilience Act (CRA) er begge centrale EU-reguleringer inden for cybersikkerhed, men de adresserer forskellige områder. Hvor NIS2 stiller krav til organisationers risikostyring og sikkerhed i driften, fokuserer CRA på sikkerheden i produkter med digitale elementer.
Samlet set bidrager de til at styrke cybersikkerheden på tværs af både virksomheder og de teknologier, de anvender og leverer.
Du kan læse meget mere om Cyber Resilience Act her