Mads PedersenNIS2-direktivet (EU 2022/2555) trådte i kraft i Danmark i oktober 2024. Tusindvis af danske virksomheder er nu forpligtede til at leve op til skærpede krav om net- og informationssikkerhed — og for SMV'er, der hidtil ikke har prioriteret cybersikkerhed, er 2026 det afgørende år. Manglende overholdelse kan udløse bøder på op til 7 millioner euro og personligt ansvar for virksomhedens ledelse.
Direktive blev vedtaget af EU i december 2022 som afløser for det første NIS-direktiv fra 2016 og udvider omfanget markant: Langt flere sektorer og virksomhedstyper er nu underlagt obligatoriske sikkerhedskrav. Denne guide forklarer præcis, hvad NIS2 betyder for din SMV, hvem der er omfattet, og hvad der konkret skal gøres.
Hvad er NIS2-direktivet, og hvorfor gælder det for SMV'er?
NIS2 (Network and Information Security Directive 2, EU 2022/2555) er EU's opdaterede ramme for cybersikkerhed i kritiske og vigtige sektorer. Det erstattede det første NIS-direktiv fra 2016 og udvider omfanget til markant flere virksomheder og brancher. Denmark implementerede direktivet i national lovgivning i oktober 2024 via "Lov om foranstaltninger til et højt fælles cybersikkerhedsniveau i EU" (NIS2-loven).
Det centrale formål er at sikre et højt og ensartet sikkerhedsniveau på tværs af EU's digitale infrastruktur. Direktivet er ikke blot et teknisk krav — det stiller også krav til ledelsesansvar, leverandørkæder og dokumenteret risikostyring.
Hvad er forskellen på NIS1 og NIS2?
NIS1 dækkede primært operatører af kritisk infrastruktur som energi og transport. NIS2 udvider dette betydeligt:
- Flere sektorer: Produktion, fødevarer, kemikalier, post- og kurertjenester samt digitale udbydere er nu inkluderet
- Bredere virksomhedsdækning: Medium og store virksomheder (50+ ansatte eller €10M+ omsætning) i de dækkede sektorer er nu automatisk omfattet
- Skærpede sanktioner: Bøder er mere end fordoblet i forhold til NIS1
- Personligt ledelsesansvar: Topledelse kan nu holdes personligt ansvarlig for manglende compliance
Ifølge Center for Cybersikkerhed (CFCS), Danmarks nationale cybersikkerhedsmyndighed, er trusselsniveauet mod danske virksomheder fortsat "høj" i 2026, med særlig fokus på ransomware og angreb på forsyningskæder.
Er din SMV omfattet af NIS2? Sådan finder du ud af det
Ikke alle SMV'er er automatisk omfattet. NIS2 anvender en kombination af sektorkriterier og størrelsestærskler til at afgøre, om en virksomhed er en "væsentlig enhed" eller "vigtig enhed".
Størrelsestærskler
En virksomhed er generelt omfattet, hvis den opfylder mindst ét af disse kriterier og opererer i en dækket sektor:
- Mellemstor virksomhed: 50+ ansatte eller €10M+ i årlig omsætning
- Stor virksomhed: 250+ ansatte eller €50M+ i omsætning
Mikrovirksomheder (under 10 ansatte) og mindre virksomheder er som udgangspunkt undtaget — medmindre de leverer kritiske tjenester som DNS-udbydere, domæneregistratorer eller offentlig kommunikationsinfrastruktur.
Dækkede sektorer i Danmark
| Kategori | Sektor | Eksempler |
|---|---|---|
| Væsentlige enheder | Energi, transport, bank, sundhed, drikkevand, digital infrastruktur | El-distributører, hospitaler, banker, cloud-udbydere |
| Vigtige enheder | Produktion, post, kemikalier, fødevarer, affaldshåndtering | Fremstillingsvirksomheder, kurertjenester, fødevareproducenter |
Leverandøransvar: Indirekte krav til sub-leverandører
Selv hvis din SMV ikke direkte er underlagt NIS2, kan du stadig være berørt indirekte. Direktivet kræver, at encompassede virksomheder vurderer og styrer cybersikkerhedsrisici i hele deres leverandørkæde. Det betyder, at store kunder med NIS2-forpligtelser vil begynde at stille sikkerhedskrav til deres leverandører — uanset leverandørens størrelse.
Digitaliseringsstyrelsen har udgivet en vejledning, der hjælper virksomheder med at vurdere, om de er omfattet, tilgængelig på digst.dk.
De centrale sikkerhedskrav i NIS2
NIS2-direktivet opstiller en konkret liste over tekniske og organisatoriske sikkerhedsforanstaltninger, som alle omfattede virksomheder skal implementere. Kravene er nedfældet i direktivets artikel 21 og dækker ti centrale sikkerhedsområder.
Tekniske minimumskrav
Multi-faktor autentificering (MFA) er ikke valgfrit under NIS2. Alle administrative systemer og adgange til kritiske systemer skal beskyttes med to-faktor eller MFA. Det gælder intern IT, cloud-tjenester og fjernadgang.
Kryptering af data — både ved lagring og transmission — er ligeledes et eksplicit krav. Virksomheder skal dokumentere, hvilke systemer der håndterer følsomme data og sikre, at de er krypterede med anerkendte standarder. For SMV'er med ældre infrastruktur kan dette kræve betydelig opgradering. Fremvæksten af kvantecomputing sætter allerede nutidens krypteringsstandarder under pres, og fremsynede virksomheder bør allerede planlægge for kvanteresistent kryptering.
Regelmæssige sikkerhedskopier (backup) skal opbevares adskilt fra primærsystemerne og testes minimum to gange årligt.
Organisatoriske krav
- Risikovurdering: En dokumenteret vurdering af virksomhedens cybersikkerhedsrisici skal gennemføres og opdateres løbende
- Sikkerhedspolitikker: Klare, dokumenterede politikker for adgangskontrol, brug af netværk og håndtering af hændelser
- Medarbejdertræning: Alle ansatte skal modtage grundlæggende cybersikkerhedstræning; teknisk personale kræver avanceret træning
- Leverandørstyring: Skriftlige sikkerhedskrav til kritiske leverandører og løbende vurdering af deres sikkerhedsniveau
"NIS2 kræver ikke, at SMV'er bygger en fæstning. Det kræver, at de har styr på basale hygiejneforanstaltninger: opdaterede systemer, MFA, backup og en plan for, hvad de gør, når — ikke hvis — de rammes af en hændelse." — Vejledning fra Center for Cybersikkerhed (CFCS), 2024
Incidentrapportering: Frister der kræver beredskab
Et af de mest operationelt krævende aspekter af NIS2 er kravet om hurtig rapportering af sikkerhedshændelser. Direktivets artikel 23 fastlægger en trefaset rapporteringsproces, der starter indenfor 24 timer efter opdagelse af en væsentlig hændelse.
En hændelse betragtes som "væsentlig" under NIS2, hvis den enten forårsager alvorlig driftsforstyrrelser af den berørte tjeneste, medfører betydeligt finansielt tab, eller berører andre fysiske eller juridiske personer ved materielle eller immaterielle skader.
De tre rapporteringsfrister
Tidlig advarsel — inden 24 timer: Angiv om hændelsen formodes at skyldes ulovlige eller ondsindede handlinger, og om den har grænseoverskridende konsekvenser. Rapporten behøver ikke at være komplet.
Hændelsesrapport — inden 72 timer: En mere detaljeret rapport med indledende vurdering af hændelsens art, alvorlighed og mulige konsekvenser.
Slutrapport — senest 1 måned: Fuld analyse af hændelsen, årsag, truffet foranstaltninger og eventuelle konsekvenser for andre parter.
I Danmark rapporteres hændelser til Center for Cybersikkerhed (CFCS) og til den relevante sektormyndighed. Det nylige angreb på Østersøens kabelinfrastruktur viste, hvad der sker, når kritisk digital infrastruktur rammes uden beredskabsplaner — og understreger behovet for, at SMV'er har robuste beredskabsprocedurer klar.
For SMV'er uden dedikeret IT-afdeling er 24-timersfristen særlig udfordrende. Virksomheder bør etablere klare interne procedurer, der angiver præcis hvem der er ansvarlig for at identificere, eskalere og rapportere hændelser — også uden for normal arbejdstid.
Bøder og ledelsesansvar: Hvad koster manglende NIS2-compliance?
NIS2 indfører markant skærpede sanktioner i forhold til NIS1 og placerer for første gang et direkte personligt ansvar hos topledelsen.
Bødeniveauer
- Væsentlige enheder: Op til 10 millioner euro eller 2% af den samlede globale årlige omsætning — hvad end der er højest
- Vigtige enheder: Op til 7 millioner euro eller 1,4% af den samlede globale omsætning
For en dansk SMV med en omsætning på 50 millioner kroner svarer 2% til en potentiel bøde på 1 million kroner. For en virksomhed med 200 millioner i omsætning er det 4 millioner kroner.
Personligt ledelsesansvar
Direktivets artikel 20 fastlægger, at topledelse, herunder direktører og bestyrelsesmedlemmer, kan holdes personligt ansvarlige for gentagen eller grov manglende overholdelse af NIS2-kravene. Det er en væsentlig nyhed i forhold til tidligere EU-direktiver på cybersikkerhedsområdet.
I praksis betyder det, at ledelsen skal:
- Godkende virksomhedens cybersikkerhedspolitikker
- Overvåge implementeringen af sikkerhedsforanstaltninger
- Deltage i cybersikkerhedstræning mindst én gang om året
Ledelsens ansvar er ikke blot formelt. Tilsynsmyndigheder kan kræve dokumentation for, at bestyrelse og direktion aktivt er involveret i cybersikkerhedsbeslutninger. Nets' rolle som kritisk digital infrastruktur for betalingsprocessering i Danmark illustrerer, hvordan manglende beredskab i ét led kan ramme hele kæden — og understreger, hvorfor regulatorer kræver top-down engagement.
5 konkrete trin til NIS2-compliance for din SMV
NIS2-compliance behøver ikke være uoverkommeligt — selv med begrænsede ressourcer. Her er de fem trin, der giver den mest direkte vej mod lovmæssig overholdelse for en dansk SMV.
Trin 1: Afklaring af status — Er din virksomhed overhovedet omfattet? Gennemgå sektorkriterier og størrelsestærskler ved hjælp af Digitaliseringsstyrelsens selvevalueringsværktøj på digst.dk. Understøtter din virksomhed kunder, der er i en dækket sektor? Overvej da de indirekte krav.
Trin 2: Gap-analyse — Kortlæg den nuværende sikkerhedstilstand over for NIS2-kravene i artikel 21. Prioriter de mest kritiske mangler: er MFA implementeret? Er backup-procedurer dokumenterede og testede? Er der etableret en incidentberedskabsplan?
Trin 3: Handlingsplan med prioriteret roadmap — Kategoriser indsatser i: kan gøres inden for 30 dage (fx aktivere MFA), kræver 3-6 måneder (fx opdatere leverandørkontrakter) og langsigtede (fx implementere fuld risikovurdering). Budgetter realistisk — for de fleste SMV'er handler det om 50.000-200.000 kr. i indledende investeringer.
Trin 4: Dokumentation og governance — NIS2 kræver dokumentation. Opret en simpel sikkerhedspolitik, en risikolog og et hændelsesberedskabsdokument. Disse behøver ikke at være komplekse — det afgørende er, at de eksisterer, er godkendt af ledelsen og opdateres minimum én gang om året.
Trin 5: Løbende overvågning og træning — Cybersikkerhed er ikke en engangsopgave. Planlæg kvartalsvise gennemgange af sikkerhedsstatus, regelmæssige phishing-simulationer for medarbejdere og en årlig gennemgang af leverandørkontrakter.
À retenir :
Nøglepunkter: NIS2 gælder for dansk lovgivning fra oktober 2024. SMV'er i dækkede sektorer med 50+ ansatte eller €10M+ omsætning er automatisk omfattet. Kravene inkluderer MFA, dokumenteret risikostyring, incidentrapportering inden 24 timer og ledelsesansvar. Bøder kan nå op til €10 millioner for væsentlige enheder.
Fordele ved at tage NIS2 seriøst: Mere end bare compliance
Mange SMV'er opfatter NIS2 udelukkende som en byrde. Det er en fejlvurdering. Virksomheder, der implementerer NIS2-kravene grundigt, opnår konkrete forretningsmæssige fordele:
Reduceret risiko for cyberangreb: Ifølge IBM's Cost of a Data Breach Report 2024 er den gennemsnitlige omkostning ved et databrud i Europa €4,3 millioner. Investering i NIS2-compliance reducerer angrebsfladen markant og mindsker sandsynligheden for, at et angreb lykkes.
Konkurrencefordel i B2B-markedet: Store kunder, der selv er NIS2-forpligtet, vil i stigende grad kræve, at deres leverandører kan dokumentere et tilstrækkeligt sikkerhedsniveau. Virksomheder med NIS2-certifikation eller velimplementerede sikkerhedspolitikker vil have en direkte fordel i udbud og samarbejdsaftaler.
Stærkere fundament for digital transformation: NIS2-kravene om MFA, kryptering og adgangskontrol er det digitale fundament, enhver moderne virksomhed bør have uanset lovkrav. Compliance-processen tvinger SMV'er til at rydde op i og dokumentere deres IT-infrastruktur — og det betaler sig på sigt.
Øget tillid hos kunder og partnere: Datasikkerhed er et voksende konkurrenceparameter. SMV'er, der kan dokumentere robuste cybersikkerhedsforanstaltninger, styrker tilliden hos eksisterende og potentielle kunder — særligt i brancher med følsomme data som sundhed, finans og produktion.
Avertissement: De oplysninger, der præsenteres i denne artikel, er udelukkende til informationsformål og udgør ikke juridisk eller compliance-rådgivning. Kontakt en IT-sikkerhedsekspert eller juridisk rådgiver for vurdering af din virksomheds specifikke NIS2-forpligtelser.
Ofte stillede spørgsmål om NIS2 og danske SMV'er
Hvornår trådte NIS2 i kraft i Danmark?
NIS2-direktivet trådte formelt i kraft i dansk lovgivning i oktober 2024. Virksomheder forventes at være i compliance fra dette tidspunkt, men tilsynsmyndighederne forventes i 2025-2026 at prioritere vejledning og implementeringsstøtte frem for umiddelbare sanktioner.
Gælder NIS2 for mig, hvis min virksomhed har under 50 ansatte?
Generelt nej — mikrovirksomheder og små virksomheder under 50 ansatte og med under €10M i omsætning er som udgangspunkt undtaget. Undtagelserne gælder for virksomheder, der er eneste udbyder af en essentiel tjeneste, udbyder offentlig elektronisk kommunikation, eller leverer tillids-, DNS- eller domæneregistreringstjenester.
Hvad er forskellen på en "væsentlig enhed" og en "vigtig enhed"?
Væsentlige enheder (essential entities) opererer i højrisikosektorer som energi, sundhed, finans og digital infrastruktur. De er underlagt proaktivt tilsyn og de højeste bødeniveauer (op til €10M). Vigtige enheder (important entities) opererer i sektorer som produktion, post og fødevarer — de er underlagt reaktivt tilsyn og lavere bøder (op til €7M).
Kan min IT-sikkerhedsleverandør håndtere NIS2-compliance for mig?
En ekstern IT-leverandør kan hjælpe med de tekniske sikkerhedsforanstaltninger, men NIS2 placerer et udelukkende ledelsesansvar i din virksomhed. Topledelsen skal godkende politikker, deltage i træning og tage ejerskab over compliance — det kan ikke uddelegeres fuldt ud til en ekstern leverandør.
