NIS2-loven i Danmark: hvem, hvad og hvornår

NIS2-loven kort

Status pr. 19. oktober 2026. Lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, kaldet NIS 2-loven, gennemfører NIS2 i Danmark og trådte i kraft den 1. juli 2025. Ansvarlig minister er ministeren for samfundssikkerhed og beredskab, mens tilsynet ligger hos de kompetente myndigheder i hver sektor.

Hvem er omfattet?

• Væsentlige og vigtige enheder i sektorerne i lovens bilag 1 og 2, som udgangspunkt mellemstore og store virksomheder; enkelte typer er omfattet uanset størrelse, og tillidstjenesteudbydere, der ikke er væsentlige, er vigtige (§ 5, stk. 3).
• Størrelse: vurderes efter EU-definitionen af mellemstore virksomheder, inklusive partner- og tilknyttede virksomheder.
• Eksempel: en udbyder af administrerede IT-tjenester (MSP) med 70 ansatte er typisk en mellemstor virksomhed i en sektor med høj kritikalitet og dermed en vigtig enhed; som stor virksomhed bliver den væsentlig.

Et første svar giver det gratis NIS2-omfangstjek; det er virksomheden selv, der skal vurdere, om den er omfattet, og ved tvivl kan I spørge den kompetente myndighed for jeres sektor.

Registrering på virk.dk

• Hvordan: registreringsblanketten ligger på virk.dk. Den sendes til Erhvervsstyrelsen, som automatisk sender den videre til de relevante myndigheder ud fra de sektorer, I vælger. Gem en kopi af blanketten som bevis.
• Hvilke oplysninger: enhedens navn, adresse og ajourførte kontaktoplysninger, herunder e-mailadresser, IP-intervaller og telefonnumre, sektor og delsektor samt de øvrige EU-lande, hvor I leverer tjenester (§ 10, stk. 1); digitale tjenester også forretningssteder og eventuel repræsentant (§ 9).
• Ændringer: senest 2 uger efter ændringen (§ 10, stk. 3), for digitale tjenester efter § 9 senest 3 måneder.

Er fristen 1. oktober 2025 overskredet?

Ja, den generelle frist er passeret. Har I ikke registreret jer, så gør det nu på virk.dk: manglende registrering kan straffes med bøde (§ 32). Bliver I omfattet senere, for eksempel fordi I vokser over grænsen for en mellemstor virksomhed eller begynder at levere en omfattet tjeneste, har I 2 uger fra det tidspunkt (3 måneder for de digitale tjenester i § 9).

Underretning om væsentlige hændelser

Underretningen går til den relevante kompetente myndighed og CSIRT (§ 12). En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab, eller har påvirket andre ved betydelig skade. Brug tjekket af væsentlige hændelser og fristberegneren.

Krav til foranstaltninger og ledelsen

Efter § 6 skal foranstaltningerne som minimum omfatte politikker for risikoanalyse og informationssikkerhed, håndtering af hændelser, driftskontinuitet og krisestyring, forsyningskædesikkerhed, sikkerhed ved erhvervelse og udvikling, vurdering af effektiviteten, cyberhygiejne og uddannelse, kryptografi, personalesikkerhed og adgangskontrol samt multifaktorautentificering og sikret kommunikation. Ledelsesorganet skal godkende foranstaltningerne og deltage i relevante kurser om styring af cybersikkerhedsrisici (§ 7).

Sanktioner: overtrædelse af blandt andet §§ 6, 9, 10 og 12 straffes med bøde, og selskaber kan straffes som juridiske personer (§ 32). Myndighederne kan desuden give påbud og forbud.

Sådan håndterer I NIS2-loven i Dazr

• NIS2-rammeværket: foranstaltningerne i artikel 21, som § 6 svarer til, som tilbagevendende kontroller med ansvarlig, beviser og påmindelser.
• Hændelsesregister: nedtælling til 24 timer, 72 timer og 1 måned (NIS2) og 72 timer (GDPR), med tidsstempel for hver underretning.
• Ledelsens godkendelse: dato for godkendelse og kurser på compliance-profilen, så I kan dokumentere § 7.
• Leverandører (Pro): leverandørregister med aftaler, certifikater og revisionsdatoer til forsyningskædesikkerhed.
• Revisor (Pro): tidsbegrænset læseadgang og revisionsspor i én PDF.
• Data i EU: Dazr er en italiensk virksomhed, appdata og backup forbliver i EU (Tyskland), og arbejdsområdets poster krypteres med AES-256-GCM.

Dazr registrerer jer ikke og underretter ikke om hændelser på jeres vegne: det sker via virk.dk, myndigheden og CSIRT. Dazr holder data, beviser og tidslinje.

Kilder: lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), Retsinformation, Virk: vejledning til registrering efter NIS2, direktiv (EU) 2022/2555. Senest kontrolleret 19. oktober 2026 mod lovteksten på Retsinformation.

Ofte stillede spørgsmål

Kan vi stadig registrere os, selv om fristen er overskredet?

Ja. Registrér jer så hurtigt som muligt på virk.dk. Fristen 1. oktober 2025 gjaldt dem, der var omfattet fra lovens ikrafttræden; manglende registrering kan straffes med bøde, så det er bedst at rette op nu.

Hvem fører tilsyn med os?

Den kompetente myndighed for jeres sektor. Når I registrerer jer på virk.dk og vælger sektorer, sendes blanketten automatisk til de relevante myndigheder.

Underretter Dazr myndighederne for os?

Nej. Registrering og underretning sker via virk.dk, myndigheden og CSIRT. Dazr holder øje med fristerne, gemmer tidsstempler og beviser og viser, hvem der gjorde hvad hvornår.

Hvilken plan har vi brug for?

NIS2-rammeværket og hændelsesregistret er med i Free for én bruger og ét rammeværk, uden kort. Pro til 99 € om måneden giver op til fem brugere og fem rammeværker, erklæring om anvendelighed, politikker, leverandørregister og revisoradgang; prøv det gratis i 14 dage.