NIS2 i oktober 2026: status for gennemførelsen

Udgivet 19. oktober 2026 · Af Dazr

To år efter fristen står fire medlemsstater for EU-Domstolen, mens Tyskland, Nederlandene og Østrig nu anvender NIS2-love.

Medlemsstaterne havde frist til 17. oktober 2024 til at gennemføre NIS2-direktivet i national ret. To år senere har de fleste gjort det, nogle arbejder stadig på det, og Europa-Kommissionen har stævnet fire af dem.

Fire lande for EU-Domstolen

Den 8. juli 2026 indbragte Kommissionen Irland, Spanien, Frankrig og Nederlandene for EU-Domstolen, fordi de ikke havde meddelt fuld gennemførelse af NIS2. Kommissionen beder om økonomiske sanktioner: et fast beløb og daglige tvangsbøder, indtil gennemførelsen er fuldført. Sagen begyndte med åbningsskrivelser den 28. november 2024, fulgt af begrundede udtalelser den 7. maj 2025.

Love, der nu gælder

Tyskland: NIS2-gennemførelsesloven blev offentliggjort i Bundesgesetzblatt den 5. december 2025 (BGBl. 2025 I Nr. 301) og har gældet siden 6. december 2025. Enhederne havde tre måneder til at registrere sig hos BSI. Ifølge BSI er fristen udløbet, og den, der endnu ikke er registreret, skal gøre det straks.
Nederlandene: Cyberbeveiligingswet (Cbw) trådte i kraft den 15. august 2026, efter at sagen var indbragt, sammen med loven om kritiske enheders modstandsdygtighed (Wwke). Den erstatter Wbni, og enhederne skal registrere sig hos NCSC.
Østrig: NISG 2026 (BGBl. I Nr. 94/2025) har gældet siden 1. oktober 2026 og erstatter NISG 2018.
Italien: lovdekret 138/2024 har gældet siden 16. oktober 2024.

Stadig undervejs

Frankrig: lovforslaget om kritisk infrastrukturs modstandsdygtighed og styrket cybersikkerhed, som gennemfører NIS2 sammen med CER-direktivet og DORA-direktivet, blev vedtaget af Senatet ved første behandling den 12. marts 2025. Nationalforsamlingens udvalg vedtog sin tekst den 10. september 2025, og behandlingen er endnu ikke afsluttet.
Spanien: ministerrådet godkendte den 14. januar 2025 udkastet til lov om koordinering og styring af cybersikkerhed. Indtil en ny lov er offentliggjort i BOE, gælder Real Decreto-ley 12/2018, som gennemførte det første NIS-direktiv.
Irland: General Scheme for National Cyber Security Bill blev offentliggjort i august 2024. Loven er endnu ikke vedtaget.

Foreslåede ændringer

Den 20. januar 2026 foreslog Kommissionen i en cybersikkerhedspakke målrettede ændringer af NIS2: enklere regler om, hvilket land der er kompetent, en strømlinet indsamling af data om ransomwareangreb og en ny kategori af små midcap-virksomheder. Ifølge Kommissionen vil ændringerne lette overholdelsen for 28.700 virksomheder. Der er tale om forslag: indtil de vedtages, gælder det nuværende direktiv og de nationale love.

Hvad det betyder i praksis

Tjek hvert land, I er aktive i. Registreringspligt, myndigheder, frister og bøder fastsættes nationalt og er forskellige.
Registrér først. Hvor en lov gælder, er registreringen hos den nationale myndighed som regel den første og ofte korte frist.
Vent ikke på en forsinket lov. Jeres forpligtelser følger af national ret og begynder, når loven gælder. Kunder og offentlige indkøbere spørger allerede efter foranstaltningerne i artikel 21 og efter sikkerhed i leverandørkæden, og gennemførelsesforordning (EU) 2024/2690 beskriver disse foranstaltninger i detaljer for udbydere af digitale tjenester.

Kilder

Kun til orientering, ikke juridisk rådgivning. Senest opdateret 19. oktober 2026.

Emner: NIS2, EU, Gennemførelse

Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål