NIS2-loven placerer ansvaret for cybersikkerheden hos virksomhedens ledelsesorgan. Ledelsen skal godkende de foranstaltninger, virksomheden træffer for at styre risiciene, føre tilsyn med, at de bliver gennemført, og deltage i relevante kurser. Eksterne roller kan forberede, udføre og følge op, men de kan ikke overtage godkendelsen eller tilsynet. I praksis vil en sikkerhedsrolle, fx en CISO eller cyber security advisor, typisk bære det meste af forberedelsen, mens IT-chefen og driftschefen gennemfører de tekniske tiltag sammen med leverandørerne. Loven nævner ingen bestemt titel eller funktion, der skal varetage arbejdet.
Hvad loven lægger på ledelsen
NIS2-loven, lov nr. 434 af 6. maj 2025, har virket siden 1. juli 2025 og gennemfører direktiv (EU) 2022/2555 i dansk ret. Den gælder for væsentlige og vigtige enheder inden for de sektorer, der er opregnet i lovens bilag 1 og 2.
Efter § 6 skal enhederne træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Bestemmelsen opregner en række minimumsområder, bl.a. risikoanalyse, håndtering af hændelser, driftskontinuitet og backup, sikkerhed i forsyningskæden, adgangskontrol og multifaktorautentificering. § 7, stk. 1, kræver, at ledelsesorganet godkender foranstaltningerne og holder øje med, at de bliver gennemført. Efter § 7, stk. 2, skal medlemmerne af ledelsesorganet deltage i relevante kurser om styring af cybersikkerhedsrisici. Direktivets artikel 20 bygger på samme tanke og fastslår desuden, at ledelsesorganerne kan holdes ansvarlige for enhedens overtrædelser.
Virksomheder, der ikke selv er omfattet, kan møde kravene gennem en kunde, der er. Så er det kontrakten, der fastlægger, hvad der skal dokumenteres. Gengivelsen her er forenklet og erstatter ikke en juridisk vurdering af jeres situation.
Det, der ikke kan lægges ud af huset
Godkendelsen og tilsynet er knyttet til ledelsesorganet og kan ikke flyttes til en ekstern person ved kontrakt. Det betyder i praksis, at ledelsen skal have et grundlag at godkende ud fra, kunne stille spørgsmål til det og modtage opfølgning, der viser, om tiltagene er gennemført. For væsentlige enheder giver § 23 tilsynsmyndigheden mulighed for, i sidste instans og efter forudgående håndhævelse, midlertidigt at forbyde en person med ledelsesansvar på direktørniveau at udøve ledelsesfunktioner i enheden. Bestemmelsen viser, at ansvaret også har en personlig side for dem, der leder virksomheden.
Godkendelsen bør kunne dokumenteres. Et referat fra direktions- eller bestyrelsesmødet, hvor foranstaltningerne blev lagt frem, hvad der blev besluttet, og hvornår der følges op, giver ledelsen et spor at vise frem, hvis myndigheden spørger. Den eksterne kan forberede materialet og skrive udkastet, men beslutningen og underskriften er ledelsens.
Bestyrelsens spørgsmål og den rapportering, den bør få, er samlet i Bestyrelsens rolle.
Sikkerhedsrollen forbereder og følger op
En ekstern CISO eller cyber security advisor er den rolle, der ligger tættest på lovens krav. Typiske opgaver er at lave risikoanalysen, udarbejde politikker, foreslå foranstaltninger inden for lovens områder, lægge dem frem til godkendelse og rapportere til ledelsen om fremdriften. Rollen kan også tilrettelægge kurserne for ledelsen og de ansatte. Rollen er forklaret i Hvad er en CISO?, og de mange navne for sikkerhedsrollen er sorteret i en særskilt artikel.
Opbygningen af et ledelsessystem for informationssikkerhed er ofte så stor en opgave, at den aftales som projekt ved siden af den løbende ramme.
IT-chefen og driftschefen gennemfører
Mange af foranstaltningerne gennemføres i driften. Backup, gendannelse, adgangsstyring, multifaktorautentificering og opdateringer ligger typisk hos driftsleverandøren, men nogen skal stille kravene og kontrollere, at de bliver opfyldt. Det er IT-chefens eller IT-driftschefens opgave. Lovens krav om sikkerhed i forsyningskæden rammer netop forholdet til de direkte leverandører. Hvem der i almindelighed har ansvaret for hvad i forholdet til leverandøren, står i artiklen om IT-leverandøren.
I mindre virksomheder kan sikkerhedsrollen og IT-chefrollen ligge hos samme person. Det kræver, at ledelsen kender til selvevalueringen, se Kan én ekstern dække flere roller?.
Hændelser og fristerne
§ 13 fastsætter frister for at underrette myndighederne om en væsentlig hændelse. En tidlig varsling skal sendes senest 24 timer efter, at enheden har fået kendskab til hændelsen, en hændelsesunderretning senest efter 72 timer og en endelig rapport senest en måned efter underretningen. Fristerne gør det nødvendigt at aftale på forhånd, hvem der vurderer, om en hændelse er væsentlig, hvem der underretter, og hvem i ledelsen der skal orienteres. Den eksterne sikkerhedsrolle kan forberede beredskabsplanen, men beslutningen om at underrette bør ligge et sted, hvor den kan træffes inden for fristen. Hvad den eksterne må beslutte, står i Mandat og beslutningskompetence.
DPO’en har sit eget regelsæt
NIS2-loven og databeskyttelsesforordningen er to forskellige regelsæt. En hændelse kan ramme begge, fx når et angreb også omfatter personoplysninger. DPO’en rådgiver om databeskyttelsen og overvåger, at reglerne overholdes, men har ingen rolle efter NIS2-loven. Hvordan de tre roller adskiller sig, er beskrevet i DPO, CPO og CISO: hvem gør hvad?.
Det skal I lade være med
- At skrive i aftalen, at den eksterne har NIS2-ansvaret · godkendelse og tilsyn ligger hos ledelsesorganet.
- At gå ud fra, at loven kræver en bestemt titel · den stiller krav til foranstaltningerne og ledelsen.
- At lade driftsleverandøren vurdere sin egen sikkerhed · nogen på jeres side skal stille kravene.
- At vente med hændelsesplanen · fristerne giver ingen tid til at finde ud af det undervejs.
- At springe kurserne for ledelsen over · de er et selvstændigt krav i loven.
Det skal I kræve af den eksterne
- ☐ Et beslutningsgrundlag, som ledelsen kan godkende og dokumentere.
- ☐ Regelmæssig rapportering om fremdrift og afvigelser, se Rapportering til ledelsen.
- ☐ En beskrivelse af, hvilke af lovens områder rollen dækker, og hvilke der ligger hos andre.
- ☐ En beredskabsplan med navne, kontaktveje og fristerne for underretning.
- ☐ Henvisning til lovteksten, når krav beskrives, så ledelsen kan læse dem selv.
Næste skridt er at få afklaret, om virksomheden er omfattet, og derefter at fordele lovens områder på roller, så ledelsen kan se, hvem der forbereder hvad, og hvad den selv skal godkende.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6 om minimumsområderne for sikkerhedsforanstaltninger, § 7 om ledelsens godkendelse og tilsyn samt kurser for ledelsesorganet, § 13 om frister for underretning, § 23 om midlertidigt forbud mod at udøve ledelsesfunktioner og § 33 om ikrafttræden.
- NIS2-direktivet, (EU) 2022/2555: artikel 20, hvor ledelsesorganerne skal godkende og overvåge foranstaltningerne, kan holdes ansvarlige og skal gennemgå uddannelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er en CISO, og hvem har brug for en? · Rollerne i ekstern IT-ledelse
→ Kontakt · Tlf. 70 13 63 23 · Cyber security advisor hos Nielco IT
