Reglyze
← Tilbage til Reglyze
Gennemført og gældende

NIS 2 i Danmark: NIS 2-loven

Tekniske, operationelle og organisatoriske foranstaltninger: § 6 i NIS 2-loven. Bestemmelsen gengiver direktivets ti foranstaltninger, og Danmark har ikke noget nationalt katalog over foranstaltninger. Reglyze vurderer derfor organisationer i Danmark ud fra kravene i NIS 2-direktivet.

Status: gældende siden den 1. juli 2025; Retsinformation viste ingen bekendtgørelse efter § 6, stk. 3, den 30. oktober 2026

Det vigtigste i korte træk

Lov, der gennemfører direktivet

Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), LOV nr 434 af 06/05/2025

I kraft siden: 2025-07-01

Kompetente myndigheder

Styrelsen for Samfundssikkerhed og de kompetente myndigheder for hver sektor (SAMSIK)

https://samsik.dk/nis2/
Foranstaltninger

§ 6 i NIS 2-loven

Ti foranstaltninger (§ 6, stk. 1), blandt dem forsyningskædesikkerhed (§ 6, stk. 1, nr. 4). De skal være godkendt af enhedens ledelsesorgan, som fører tilsyn med foranstaltningernes gennemførelse (§ 7, stk. 1). Vedkommende minister kan fastsætte nærmere regler om foranstaltningerne (§ 6, stk. 3).

Hvem er omfattet?

Væsentlige enheder

Enheder af en type, som er omfattet af lovens bilag 1, anses for at være væsentlige enheder, hvis enheden beskæftiger 250 personer eller derover, eller hvis den har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro (§ 4, stk. 1). Uanset deres størrelse anses følgende enheder for at være væsentlige enheder: kvalificerede tillidstjenesteudbydere og topdomæneadministratorer samt DNS-tjenesteudbydere, offentlige forvaltningsenheder under den centrale forvaltning, enheder, der er identificeret som kritiske enheder i henhold til CER-loven, operatører af væsentlige tjenester efter de tidligere NIS-regler og enheder af særlig national betydning (§ 4, stk. 3).

Vigtige enheder

Enheder af en type, som er omfattet af lovens bilag 1 eller 2, anses for at være vigtige enheder, hvis enheden ikke opfylder kriterierne for at være væsentlige enheder i medfør af § 4, og hvis den beskæftiger 50 personer eller derover eller har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 5, stk. 1). Tillidstjenesteudbydere, der ikke opfylder kriterierne for at være væsentlige enheder, anses uanset størrelse for at være vigtige enheder (§ 5, stk. 3).

Tidligere regler: fire love fra 2018 (lov nr. 436, 437, 440 og 441), som NIS 2-loven ophæver (§ 33, stk. 4-7). Størrelseskriterierne i §§ 4 og 5 står i selve loven og gælder enheden selv, uden henvisning til Kommissionens henstilling 2003/361/EF. Om koncerntal tæller med, fremgår ikke af loven, og bemærkningerne til lovforslaget er ikke gennemgået på det punkt. Listen over sektorerne i bilag 1 og 2 gengives ikke på denne side.

Vigtige frister

2025-05-06

LOV nr 434 af 06/05/2025, NIS 2-loven, som gennemfører direktiv (EU) 2022/2555.

2025-06-02

BEK nr 620 af 02/06/2025 fastsætter, hvilken myndighed der er kompetent for hver sektor, og gør selvbetjeningsløsningen på Virk.dk til kanalen for registrering og underretning. Derefter fulgte BEK nr 653 af 04/06/2025 om validering og videregivelse af domænenavnsregistreringsdata.

2025-07-01

NIS 2-loven træder i kraft (§ 33, stk. 1) og ophæver fire love fra 2018 (§ 33, stk. 4-7).

2025-10-01

Sidste frist for de første oplysninger efter § 9, stk. 1, og § 10, stk. 1 (§ 33, stk. 3).

2026-01-30

Europa-Kommissionen afslutter traktatbrudssagen mod Danmark, INFR(2024)0265, efter en begrundet udtalelse af 7. maj 2025.

Omfattet af loven + 2 uger

Væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester, skal registrere sig hos den relevante kompetente myndighed, senest 2 uger efter at enheden omfattes af loven (§ 10, stk. 1 og 2).

Omfattet af loven + 3 måneder

De digitale enhedstyper indgiver desuden oplysningerne efter § 9, stk. 1, senest 3 måneder efter at enheden omfattes af loven (§ 9, stk. 2).

Ændring + 2 uger

Ved ændringer skal enheden give den relevante kompetente myndighed underretning herom senest 2 uger efter datoen for ændringen (§ 10, stk. 3). SAMSIK’s registreringsside angiver tre måneder for enhver ændring, men for væsentlige og vigtige enheder gælder loven.

Væsentlige og vigtige enheder skal underrette både den relevante kompetente myndighed og CSIRT’en om enhver væsentlig hændelse (§ 12, stk. 1), digitalt gennem den af Styrelsen for Samfundssikkerhed anviste selvbetjeningsløsning, som er tilgængelig via Virk.dk (BEK 620, § 14). En tidlig varsling sendes uden unødigt ophold og senest inden for 24 timer efter at enheden har fået kendskab til den væsentlige hændelse (§ 13, stk. 1, nr. 1). En hændelsesunderretning sendes under alle omstændigheder inden for 72 timer efter at enheden har fået kendskab til den væsentlige hændelse (§ 13, stk. 1, nr. 2), og tillidstjenesteudbydere skal afgive den uden unødigt ophold og senest inden for 24 timer (§ 13, stk. 2). En foreløbig rapport med relevante statusopdateringer sendes efter anmodning fra CSIRT’en (§ 13, stk. 1, nr. 3). En endelig rapport sendes senest 1 måned efter fremsendelsen af hændelsesunderretningen (§ 13, stk. 1, nr. 4). Pågår hændelsen fortsat på det tidspunkt, skal den underrettende enhed indsende en statusrapport på det pågældende tidspunkt og en endelig rapport, senest 1 måned efter at hændelsen er håndteret (§ 13, stk. 1, nr. 5).

Sektorer med særlige regler

Energi, tele og dele af finanssektoren: deres egne love

Loven finder ikke anvendelse på enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og heller ikke på de finansielle enheder, der er udpeget efter § 333 i lov om finansiel virksomhed (§ 1, stk. 2). SAMSIK’s side om de sektoransvarlige myndigheder siger om hver af de tre sektorer, at NIS 2 implementeres i særskilt lovgivning. En virksomhed i de sektorer skal derfor læse sin egen lov. De tre love indgår ikke i Reglyzes grundlag, og denne side gengiver ikke deres indhold.

Digital infrastruktur, forvaltning af IKT-tjenester og digitale udbydere

Digitaliseringsstyrelsen er kompetent myndighed for DNS-tjenesteudbydere, topdomæneadministratorer, udbydere af cloudcomputingtjenester, datacentertjenester og indholdsleveringsnetværk, tillidstjenesteudbydere, udbydere af administrerede tjenester og administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner, platforme for sociale netværkstjenester og enheder, der leverer domænenavnsregistreringstjenester (BEK 620, § 6). Kvalificerede tillidstjenesteudbydere og topdomæneadministratorer samt DNS-tjenesteudbydere er væsentlige enheder uanset størrelse (§ 4, stk. 3, nr. 1), og andre tillidstjenesteudbydere er vigtige enheder (§ 5, stk. 3). Enheder, der udgør udbydere af internetudvekslingspunkter, hører under NIS 2-loven med Styrelsen for Samfundssikkerhed som kompetent myndighed (BEK 620, § 12, nr. 2), mens offentlige elektroniske kommunikationsnet og -tjenester hører under loven om telesektoren (§ 1, stk. 2).

Offentlig forvaltning: staten, regionerne og kommunerne

Offentlige forvaltningsenheder under den centrale forvaltning er væsentlige enheder uanset størrelse (§ 4, stk. 3, nr. 2). En region er en enhedstype i bilag 1, pkt. 10, og størrelseskriterierne i §§ 4 og 5 afgør dens klasse. Det er Reglyzes fortolkning af lovteksten, ikke lovens egne ord. Offentlige forvaltningsenheder på lokalt plan er ikke nævnt i bilag 1, pkt. 10, men en kommune, der udfører en aktivitet i bilagene, for eksempel som sundhedstjenesteyder, er som en helhed omfattet af loven (lovforslag L 141). Offentlige forvaltningsenheder, som udfører deres aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, er ikke omfattet (§ 1, stk. 4).

Ofte stillede spørgsmål

Gælder NIS 2 i Danmark?
Ja. NIS 2-loven, LOV nr 434 af 06/05/2025, gennemfører direktiv (EU) 2022/2555 og trådte i kraft den 1. juli 2025 (§ 33, stk. 1). Den ophævede fire love fra 2018 (§ 33, stk. 4-7). To bekendtgørelser hører til loven: BEK nr 620 af 02/06/2025 om de kompetente myndigheder og digital kommunikation og BEK nr 653 af 04/06/2025 om validering og videregivelse af domænenavnsregistreringsdata. Andre viste Retsinformation ikke den 30. oktober 2026. Loven gælder ikke for Færøerne og Grønland (§ 34). Europa-Kommissionen afsluttede traktatbrudssagen INFR(2024)0265 den 30. januar 2026.
Hvem er omfattet af NIS 2-loven?
Offentlige og private enheder, der er omfattet af lovens bilag 1 og 2 (§ 1, stk. 1). En enhed af en type i bilag 1 er væsentlig fra 250 personer, eller med en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro (§ 4, stk. 1). En enhed af en type i bilag 1 eller 2 er vigtig fra 50 personer, eller med en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 5, stk. 1). Kriterierne gælder enheden selv, og om koncerntal tæller med, fremgår ikke af loven. Nogle enheder er omfattet uanset størrelse (§ 4, stk. 3, og § 5, stk. 3). Uden for loven står offentlige forvaltningsenheder, som udfører deres aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse (§ 1, stk. 4), og enheder, hvor sektorspecifikke EU-retsakter og eventuel national gennemførelse heraf har mindst samme virkning som bestemmelserne i §§ 6, 12, 13 og 15 (§ 1, stk. 3).
Gælder NIS 2-loven for energi, tele og finans?
Ikke i det omfang, en enhed er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og ikke for de finansielle enheder, der er udpeget efter § 333 i lov om finansiel virksomhed (§ 1, stk. 2). SAMSIK’s side om de sektoransvarlige myndigheder bekræfter, at NIS 2 implementeres i særskilt lovgivning for de tre sektorer. Enheder, der udgør udbydere af internetudvekslingspunkter, hører dog under NIS 2-loven (BEK 620, § 12, nr. 2). De tre love indgår ikke i Reglyzes grundlag, så denne side siger ikke, hvad de kræver.
Hvordan og hvornår skal en enhed registrere sig?
Væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester, skal registrere sig hos den relevante kompetente myndighed (§ 10, stk. 1), senest 2 uger efter at enheden omfattes af loven (§ 10, stk. 2). De første oplysninger skulle indgives senest den 1. oktober 2025 (§ 33, stk. 3). Ved ændringer skal enheden give myndigheden underretning herom senest 2 uger efter datoen for ændringen (§ 10, stk. 3). De digitale enhedstyper indgiver desuden oplysningerne efter § 9, stk. 1, senest 3 måneder efter at enheden omfattes af loven (§ 9, stk. 2). Det hele sker digitalt gennem selvbetjeningsløsningen på Virk.dk, forsynet med den offentlige digitale signatur MitID (BEK 620, § 14). SAMSIK’s registreringsside angiver »senest tre måneder efter datoen for ændringen« for enhver ændring og henviser til § 9, stk. 1. For væsentlige og vigtige enheder gælder lovens 2 uger efter § 10, stk. 3.
Hvor og hvornår skal vi underrette om en væsentlig hændelse?
Væsentlige og vigtige enheder skal underrette både den relevante kompetente myndighed og CSIRT’en (§ 12, stk. 1) gennem selvbetjeningsløsningen på Virk.dk (BEK 620, § 14). SAMSIK’s side om NIS 2 linker til den som »Indberet hændelse (virk.dk)« og oplyser, at indberetninger håndteres af Forsvarets Efterretningstjeneste (FE), som varetager opgaven som national CSIRT. Fristerne løber fra det tidspunkt, enheden har fået kendskab til den væsentlige hændelse. En tidlig varsling sendes senest inden for 24 timer (§ 13, stk. 1, nr. 1) og skal angive, om den væsentlige hændelse mistænkes at være forårsaget af ulovlige eller ondsindede handlinger eller kunne have en grænseoverskridende virkning. En hændelsesunderretning sendes inden for 72 timer (§ 13, stk. 1, nr. 2), af tillidstjenesteudbydere senest inden for 24 timer (§ 13, stk. 2), og skal ajourføre oplysningerne fra den tidlige varsling og give en indledende vurdering af den væsentlige hændelse. En endelig rapport sendes senest 1 måned efter fremsendelsen af hændelsesunderretningen (§ 13, stk. 1, nr. 4). Væsentlige og vigtige enheder underretter også uden unødigt ophold modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af deres tjenester negativt (§ 15, stk. 1).
Hvornår er en hændelse væsentlig?
Efter § 12, stk. 2, nr. 1, er en hændelse væsentlig, hvis den »har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed«. Efter nr. 2 er den også væsentlig, hvis den »har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig fysisk eller ikkefysisk skade«. Retsinformation viste ingen bekendtgørelse om væsentlighed efter § 12, stk. 3, den 30. oktober 2026. SAMSIK’s vejledning om hændelsesunderretning, formularen på Virk.dk og gennemførelsesforordning (EU) 2024/2690 for de digitale enhedstyper indgår ikke i Reglyzes grundlag.
Hvilke foranstaltninger kræver loven?
Væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger (§ 6, stk. 1). Bestemmelsen gengiver direktivets ti foranstaltninger. Blandt dem er forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere (§ 6, stk. 1, nr. 4). Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om foranstaltninger efter stk. 1 (§ 6, stk. 3), men Retsinformation viste ingen sådanne regler den 30. oktober 2026. Der er altså ikke noget dansk katalog at gå frem efter.
Hvad kræver loven af ledelsesorganet?
Foranstaltningerne skal være godkendt af enhedens ledelsesorgan, og ledelsesorganet fører tilsyn med foranstaltningernes gennemførelse (§ 7, stk. 1). Medlemmerne af en væsentlig eller vigtig enheds ledelsesorgan skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes til enhedens øvrige ansatte (§ 7, stk. 2). Loven fastsætter intet interval for kurserne. Hvem ledelsesorganet er, afhænger af enhedens form (§ 3, nr. 20): i selskaber, der har en direktion og en bestyrelse, er det bestyrelsen, ellers direktionen, og i en offentlig myndighed dens øverste administrative ledelse. I en væsentlig enhed kan enhver fysisk person med ledelsesansvar på niveau med administrerende direktør eller den juridiske repræsentant hos enheden midlertidigt forbydes at udøve ledelsesfunktioner (§ 23, stk. 1, nr. 2). Det gælder ikke offentlige forvaltningsenheder (§ 23, stk. 4).
Er regioner og kommuner omfattet?
Det afhænger af niveauet. Offentlige forvaltningsenheder under den centrale forvaltning anses uanset deres størrelse for at være væsentlige enheder (§ 4, stk. 3, nr. 2). Regionerne står i bilag 1, pkt. 10, uden ord om størrelse, og § 4, stk. 3, nævner dem ikke. Størrelseskriterierne afgør derfor klassen: en region er væsentlig fra 250 personer (§ 4, stk. 1) og vigtig fra 50 personer (§ 5, stk. 1). Det er Reglyzes fortolkning af lovteksten: loven siger det ikke med så mange ord, lovforslag L 141 omtaler ikke det regionale niveau, og Sundhedsdatastyrelsens og SAMSIK’s vejledning om regionerne indgår ikke i Reglyzes grundlag. Offentlige forvaltningsenheder på lokalt plan og uddannelsesinstitutioner omfattes som sådan kun, hvis vedkommende minister fastsætter regler om det (§ 1, stk. 7), og Retsinformation viste ingen sådanne regler den 30. oktober 2026. En kommune eller en uddannelsesinstitution kan alligevel være omfattet. Bemærkningerne til lovforslag L 141 nævner som eksempel en situation, »hvor en kommune agerer som sundhedstjenesteyder i overensstemmelse med lovens bilag 1 eller 2«, og i sådanne tilfælde vil kommunen »som en helhed være omfattet af lovens krav«, med alle sine net- og informationssystemer. Derfor nævner BEK 620, § 1, »Kommunerne« blandt de enheder, Styrelsen for Samfundssikkerhed er kompetent myndighed for. Fra mellemstørrelse anses kommuner og regioner desuden som væsentlige enheder, såfremt de med et kommercielt formål udfører opgaver som udbydere af offentlige elektroniske kommunikationsnet (§ 4, stk. 2).
Er en lille it-virksomhed omfattet?
Det afhænger af, hvad den leverer. Kvalificerede tillidstjenesteudbydere og topdomæneadministratorer samt DNS-tjenesteudbydere er væsentlige enheder uanset størrelse (§ 4, stk. 3, nr. 1), og andre tillidstjenesteudbydere er vigtige enheder (§ 5, stk. 3). En virksomhed, der leverer domænenavnsregistreringstjenester, skal registrere sig (§ 10, stk. 1) og besvare anmodninger om domænenavnsregistreringsdata senest inden for 72 timer efter modtagelse af anmodningen (§ 11, stk. 5). Loven nævner den ved siden af væsentlige og vigtige enheder og giver den efter Reglyzes fortolkning ikke selv en klasse. Udbydere af cloudcomputingtjenester, datacentertjenester og administrerede tjenester er omfattet fra størrelseskriterierne i § 5, stk. 1, så en virksomhed under dem er ikke omfattet, medmindre den er udpeget. Den kan alligevel møde kravene hos sine kunder: de skal håndtere sikkerhedsrelaterede aspekter vedrørende forholdene til deres direkte leverandører eller tjenesteudbydere (§ 6, stk. 1, nr. 4).
Hvem fører tilsyn?
Der er en kompetent myndighed for hver sektor, fastsat ved bekendtgørelse (§ 20, stk. 1). Styrelsen for Samfundssikkerhed er det bl.a. for kommunerne og den centrale forvaltning (BEK 620, § 1) og for udbydere af internetudvekslingspunkter (BEK 620, § 12, nr. 2), Digitaliseringsstyrelsen for digital infrastruktur, forvaltning af IKT-tjenester og digitale udbydere (BEK 620, § 6), og Sundhedsdatastyrelsen for sundhed og regionerne (BEK 620, §§ 2 og 4). Trafikstyrelsen, Søfartsstyrelsen, Uddannelses- og Forskningsstyrelsen, Klimadatastyrelsen, Energistyrelsen, Miljøstyrelsen og Fødevarestyrelsen er kompetente myndigheder for andre sektorer (BEK 620, §§ 5 og 7-13). Loven har en straffebestemmelse i § 32, og der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2).
Hvordan hjælper Reglyze en organisation i Danmark?
Reglyze vurderer organisationer i Danmark ud fra kravene i NIS 2-direktivet, udarbejder dokumenter, der henviser til NIS 2-loven, dens frister og de rette modtagere, og holder øje med fristerne for underretning, regnet fra det tidspunkt, enheden har fået kendskab til den væsentlige hændelse. Registreringen og underretningerne indgiver du selv via Virk.dk. Omfangsvurderingen i Reglyze følger direktivets kriterier og lovens regler for den offentlige forvaltning. Den centrale forvaltning bliver væsentlig enhed uanset størrelse (§ 4, stk. 3, nr. 2). En region vurderes efter størrelseskriterierne (§§ 4 og 5). En kommune bliver ikke omfattet som offentlig forvaltning (bilag 1, pkt. 10, og § 1, stk. 7): angiv også den sektor i bilagene, kommunen arbejder i, så vurderes den efter sektoren og sin størrelse. Spørgeskemaet kender ikke de særlige love for energi, tele og finans, så for en enhed i de sektorer viser resultatet direktivets vurdering og ikke, hvad dens egen lov siger (§ 1, stk. 2). Det spørger heller ikke om domænenavnsregistreringstjenester, og omfangsvurderingen tager ikke højde for § 4, stk. 2, om kommuner og regioner som udbydere af offentlige elektroniske kommunikationsnet. Resultatet viser, hvor du sandsynligvis står, og erstatter ikke lovens tekst.

Officielle kilder

Sidst kontrolleret: 2026-11-05 · næste kontrol planlagt efter 2027-01-30.

Klar til at opfylde lovens krav?

Reglyze guider dig trin for trin, med hjælp fra AI, gennem kravene i NIS 2: omfangsvurdering og gapanalyse ud fra direktivets krav og derefter dokumenter, der henviser til NIS 2-loven, dens frister og de rette modtagere af underretningerne.