NIS2 rammer også små virksomheder, fordi virksomheder, der er direkte omfattet af EU’s NIS2-direktiv, skal stille krav til deres underleverandører.
Det handler om cybersikkerhed, datasikkerhed, og der kommer også krav om tilsyn og rapportering.
Og det er værd at bemærke, at ledelsen af virksomheden bliver personligt ansvarlige for at reglerne overholdes. Så ledelsen kan sanktioneres personligt, hvis de ikke sørger for at virksomheden holder reglerne.
Direkte omfattet er kun virksomheder over en vis størrelse inden for bestemte sektorer, men underleverandører bliver indirekte omfattet uanset størrelse. Kenneth Kryger Gram, CEO i Abakion, forklarer, hvad NIS2 er, hvilke sanktioner der følger med, og hvordan du dokumenterer din datasikkerhed.
I Danmark er NIS2 gennemført med NIS2-loven, som trådte i kraft 1. juli 2025.
Som Kenneth nævner i videoen, så er et godt sted at begynde måske IT-branchens NIS2-univers lige her.
Digital suverænitet over forretningsløsninger i 2025
Hvad skal du som dansk virksomhed vide om data-suverænitet i et cloud-miljø, især når dine løsninger er baseret på Microsoft-teknologi.
Er din Business Central klar til de nye emballagekrav?
Hør om de nye EU-krav til emballagerapportering, hvem der har ansvaret, og hvordan du kan håndtere det effektivt.
Hør hvorfor NIS2 har effekt på mange virksomheder
Selv om din virksomhed ikke bliver direkte reguleret af det nye NIS2-direktiv fra EU, så skal du sikkert også leve op til en række krav.
Hvad er NIS2?
NIS2 er EU’s opdaterede netværks- og informationssikkerhedsdirektiv, og formålet er at øge datasikkerheden i EU. NIS er en forkortelse for netværks- og informationssikkerhedsdirektivet.
NIS-direktivet definerer, hvad kritisk infrastruktur er, og stiller krav til de virksomheder, der driver den. Det kan fx være elværker eller netværksleverandører med store knudepunkter, altså noget, man betragter som kritisk for Danmark.
Kravene handler om, at man skal have planer for, hvordan man sikrer sig mod datatab, fx hvis man bliver hacket. Formålet er at ensrette reglerne for, hvordan virksomheder på tværs af EU dokumenterer, at de har styr på deres datasikkerhed. Så vi ikke pludselig står uden strøm eller uden anden kritisk infrastruktur.
Hvor mange danske virksomheder er omfattet af NIS2?
Ifølge Kenneth Kryger Gram omfattede NIS1 cirka 50 danske virksomheder direkte, og forventningen var, at cirka 1.400 virksomheder ville blive direkte omfattet af NIS2.
NIS2 øger kravene i forhold til NIS1, og NIS2 dækker flere industrier.
Hvem bliver direkte omfattet af NIS2?
En virksomhed er direkte omfattet af NIS2, når den både ligger i en af de sektorer, NIS2 dækker, og har en vis størrelse:
- mindst 50 ansatte, eller en årlig omsætning og en årlig balance på hver over 10 mio. euro
- aktivitet inden for en af de sektorer, NIS2 omfatter
Kan en lille virksomhed blive omfattet af NIS2?
Ja. En lille virksomhed kan blive indirekte omfattet af NIS2 som underleverandør til en virksomhed, der er direkte omfattet.
En virksomhed, der er omfattet af NIS2, vil nemlig stille krav til sine underleverandører, fordi den skal sikre hele sin værdikæde. Og der kigger den ikke på størrelseskriterierne. Så en lille virksomhed med fem medarbejdere kan sagtens blive mødt med krav om at dokumentere sin datasikkerhed.
Du skal også selv se på dine egne leverandører. NIS2 berører ikke kun din egen virksomhed.
Hvilke sanktioner er der i NIS2?
NIS2 giver større bøder, og ledelsen kan i yderste konsekvens blive frakendt retten til at drive virksomhed. Ligesom vi kender det fra persondatareglerne, bliver bøderne større.
NIS2 lægger dermed langt større krav og langt større ansvar på ledelsen.
Hvad skal du dokumentere for at leve op til NIS2?
Du skal kunne dokumentere, at du har styr på datasikkerheden, herunder hvilke beredskabsplaner du har, og at du øver dem.
Du skal kunne vise, at du har styr på mere end det, du har gjort up front. Du skal også vide, hvad der sker, hvis du bliver ramt af et hackerangreb eller noget andet, der giver datatab. Hvordan reagerer I, og hvordan informerer I de berørte kunder? Og beredskabsplanen skal øves, ligesom en brandøvelse.
Hvorfor skal du øve din disaster recovery?
Du skal øve din disaster recovery, fordi de fleste virksomheder først opdager, at gendannelsen ikke virker, den dag det går galt. Alle virksomheder bør øve deres disaster recovery-procedurer. Det er de færreste, der gør det, og de finder ud af det på den hårde måde den dag, det går galt. Det behøver ikke at være et hackerangreb. Det kan lige så godt være en vandskade eller en brand, der ødelægger data.
Selvom du tager backup, bør du øve, hvad der sker, hvis systemerne går ned:
- kan du reetablere dine systemer?
- hvor lang tid tager det?
- hvad betyder det af nedetid?
- hvem bliver påvirket?
- hvad koster det i tid og penge?
Hvordan laver du en risikoprofil til NIS2?
Der findes en skabelon til risikoprofilen, og der kommer flere og flere vejledninger og tjeklister. Vejledningerne og tjeklisterne hjælper dig med at dokumentere, at du har identificeret dine kritiske data, og hvordan du beskytter dem.
Som IT-leverandør har Abakion også klassificeret og dokumenteret, at Abakion har vurderet de her ting. Og Abakion taler med sine kunder for at sikre, at de er enige om de fælles planer.
Kan cloud hjælpe dig med at leve op til NIS2?
Ja, delvist. Når data ligger i Microsofts cloud, flytter en stor del af ansvaret for de tekniske foranstaltninger over på Microsoft, men du har stadig selv ansvaret for vurderingerne.
Abakion har valgt at flytte alle sine kunders data over i cloud-miljøer. Så lægger både kunden og Abakion en stor del af ansvaret over på Microsoft, som har en helt anden muskel til at drive og sikre det.
Hvis Kenneth Kryger Gram selv drev en virksomhed, der var direkte eller indirekte berørt af NIS2, så ville han have det væsentligt bedre med, at en stor spiller som Microsoft sikrede data. Det fritager dig ikke for ansvaret. Du skal stadig selv lave vurderingerne. Men mange af de tekniske foranstaltninger er væsentligt bedre på plads.
Hvor kan du få hjælp til NIS2?
Et godt sted at starte er IT-Branchens hjemmeside, hvor du under temaer finder et helt univers om implementering af NIS2. Der er også allerede en række rådgivere på banen, både til det juridiske og det tekniske.
IT-Branchens NIS2-univers guider dig igennem, hvad du skal forholde dig til, hvordan du kan se, om du er omfattet, og hvad du skal gøre, hvis du er direkte eller indirekte omfattet. Du kan også se, hvilke virksomheder i IT-branchen der er specialiseret i de forskellige områder.
Ofte stillede spørgsmål
Gælder NIS2 for min virksomhed, hvis vi har under 50 ansatte?
Ja, det kan den. Har virksomheden under 50 ansatte, er den som udgangspunkt ikke direkte omfattet af NIS2 på grund af størrelsen. Men hvis virksomheden er underleverandør til en virksomhed, der er omfattet af NIS2, vil kunden stille krav til datasikkerheden, uanset hvor lille underleverandøren er.
Kan ledelsen straffes personligt efter NIS2?
Ja. NIS2 lægger langt større ansvar på ledelsen, og ud over større bøder kan ledelsen i yderste konsekvens blive frakendt retten til at drive virksomhed.
Er backup nok til at leve op til NIS2?
Nej. Selvom du tager backup, skal du også øve din disaster recovery-procedure og kunne dokumentere, hvor hurtigt du kan reetablere dine systemer, og hvad nedetiden betyder.
Fritager cloud mig for ansvaret efter NIS2?
Nej. Når data ligger i Microsofts cloud, er mange tekniske foranstaltninger bedre på plads, men du skal stadig selv lave vurderingerne og dokumentationen.