Plant Supervision: NIS2 rammer langt flere virksomheder end dem, loven omfatter

NIS 2-loven trådte i kraft den 1. juli 2025, og omfattede virksomheder skulle registrere sig på virk.dk senest den 1. oktober 2025. Alligevel oplever Plant Supervision, at mange virksomheder fortsat ikke ved, om loven gælder for dem.

– Tvivlen er forståelig, for svaret afhænger af to kriterier, der skal læses sammen: sektor og størrelse. Det afgørende er, hvad virksomheden faktisk laver, og ikke hvilken branchekode den er registreret under, siger Anders M. Damgren, Head of Compliance i PS Engineering.

To kriterier afgør det

Begge kriterier skal være opfyldt, før en virksomhed som udgangspunkt er omfattet af loven.

Sektor: Loven omfatter sektorerne i lovens bilag 1 og 2. Bilag 1 dækker blandt andet energi, transport, drikkevand, spildevand, sundhed og digital infrastruktur, mens bilag 2 blandt andet dækker fremstilling af maskiner og elektronik, fødevareproduktion, kemikalier, affaldshåndtering og digitale udbydere.

Størrelse: Virksomheden skal have mindst 50 ansatte eller en årsomsætning og en årlig balance på mere end 10 mio. euro.

En maskinbygger med 20 ansatte falder dermed som udgangspunkt uden for loven, selvom sektoren er omfattet. Styrelsen for Samfundssikkerhed har udgivet en vejledning og et værktøj til selvvurdering, som er det rigtige sted at starte.

Væsentlige og vigtige enheder

Loven skelner mellem to kategorier af omfattede enheder. Kravene til cybersikkerhedsforanstaltningerne er i store træk de samme, men kategorien afgør tilsynets intensitet og bødeniveauet.

Vigtige enheder: Som udgangspunkt virksomheder med 50 til 249 ansatte. Tilsynet sker efter en konkret anledning, og bødemaksimum er 7 mio. euro eller 1,4 % af den globale årsomsætning.

Væsentlige enheder: Som udgangspunkt virksomheder med 250 ansatte eller derover. De er underlagt proaktivt tilsyn, og bøderne kan nå op til 10 mio. euro eller 2 % af den globale årsomsætning.

Undtagelser: Visse enheder er omfattet uanset størrelse, blandt andet DNS-tjenesteudbydere og kvalificerede tillidstjenesteudbydere. Det kan også gælde virksomheder, der er eneste leverandør af en samfundsvæsentlig tjeneste.

Kravene når leverandørerne gennem kontrakterne

Skønnene over antallet af direkte omfattede danske virksomheder ligger omkring 5-6.000. Ifølge Plant Supervision er det reelle antal berørte dog langt større, fordi omfattede virksomheder har pligt til at vurdere sikkerheden i deres forsyningskæde – og det omsætter de til krav mod deres leverandører.

– En maskinbygger med 40 ansatte er som udgangspunkt ikke omfattet. Men leverer virksomheden udstyr med netværksforbindelse, fjernadgang eller styresoftware til et forsyningsselskab, bliver den en del af kundens risikobillede. Så kommer kravene med den næste kontrakt eller det næste leverandøraudit, siger Anders M. Damgren.

Plant Supervision ser et genkendeligt mønster i de krav, leverandører møder:

Sikkerhedsspørgeskemaer: Spørgsmål om politikker, adgangsstyring, backup og hændelseshåndtering, ofte som en fast del af leverandørgodkendelsen.

Kontraktuelle minimumskrav: Krav til fx kryptering, patch-håndtering og styring af fjernadgang til leveret udstyr.

Underretningspligt: Krav om at give besked, hvis leverandøren opdager en hændelse, der kan påvirke kundens systemer eller leverancer.

Auditret: Kunden eller kundens revisor får ret til at efterprøve, at svarene også afspejler praksis.

– Det er værd at læse kravene, før man skriver under. En underretningspligt uden defineret tærskel eller en ubegrænset auditret kan blive dyr i praksis, og de fleste kunder er indstillet på at præcisere formuleringerne, hvis man spørger, fortæller Anders M. Damgren.

Dokumentation før spørgsmålene kommer

Et svar på et sikkerhedsspørgeskema skal kunne dokumenteres. Kernen er en informationssikkerhedspolitik, et risikoregister, en hændelsesproces, procesbeskrivelser for adgangsstyring, backup og opdateringer samt dokumentation for medarbejdertræning. ISO 27001-certificering er ikke et lovkrav, men kan forkorte leverandørgodkendelser, hvis flere store kunder efterspørger den.

Er en virksomhed omfattet og endnu ikke registreret, er rådet enkelt: Gør det nu. Registreringen er dog den mindste del af opgaven, for selve kravene har været gældende siden lovens ikrafttrædelse uden overgangsperiode.

– I de fleste tekniske virksomheder er praksis bedre end papirerne. Arbejdet består derfor sjældent i at bygge et sikkerhedsprogram fra bunden, men i at få praksis beskrevet og hullerne lukket. Det starter med et overblik over, hvad man allerede har, siger Anders M. Damgren.

Læs mere om Plant Supervisions gratis NIS2 gap-workshop her.

Se flere cases og løsninger på Plant Supervisions hjemmeside.