Kort svar: Den danske NIS2-lov (lov nr. 434 af 6. maj 2025) trådte i kraft 1. juli 2025. Den stiller krav om cybersikkerhed, risikostyring, hændelsesrapportering og ledelsesansvar til mellemstore og store virksomheder i kritiske sektorer, bl.a. energi, transport, sundhed, fødevarer, kemi og dele af industrien. Omfattede virksomheder skulle registrere sig på virk.dk senest 1. oktober 2025. NIS2 er først og fremmest et it-sikkerhedskrav, men det rører også ved de processer, som HSE- og arbejdsmiljøfolk arbejder med til daglig.
Hvem er omfattet af NIS2?
Loven gælder som udgangspunkt for virksomheder med mindst 50 ansatte eller en omsætning over 10 mio. euro inden for disse sektorer:
| Sektorer med høj kritikalitet | Andre kritiske sektorer |
|---|---|
| Energi, transport, bank og finansiel infrastruktur, sundhed, drikkevand og spildevand, digital infrastruktur, offentlig forvaltning | Post og kurér, affald, kemikalier, fødevarer, fremstilling af fx medicinsk udstyr, elektronik, maskiner og køretøjer, digitale udbydere og forskning |
Nogle virksomheder er omfattet uanset størrelse. Styrelsen for Samfundssikkerhed har et værktøj på nis2tjek.sikkerdigital.dk, hvor I kan tjekke, om I er omfattet, og hvilken myndighed I hører under.
Hvad kræver NIS2?
- Registrering: Omfattede virksomheder skal registrere sig på virk.dk. Fristen var 1. oktober 2025, og nye virksomheder skal registrere sig kort efter, at de bliver omfattet.
- Risikostyring: Passende tekniske, operationelle og organisatoriske foranstaltninger til at styre risici for net- og informationssystemer.
- Hændelsesrapportering: Væsentlige hændelser skal rapporteres i tre trin: en tidlig varsling inden 24 timer, en underretning inden 72 timer og en endelig rapport senest en måned efter.
- Ledelsesansvar: Ledelsen skal godkende og føre tilsyn med cybersikkerhedsindsatsen og kan holdes ansvarlig.
- Leverandørstyring: Sikkerheden i forsyningskæden skal vurderes, også hos it-leverandører.
- Sanktioner: Direktivet giver mulighed for store bøder, for væsentlige enheder op til 10 mio. euro eller 2 % af den globale omsætning.
Hvad har NIS2 med HSE og arbejdsmiljø at gøre?
NIS2 handler om cybersikkerhed, og et arbejdsmiljøsystem gør jer ikke NIS2-compliant. Men de virksomheder, der er omfattet, er ofte de samme, der har store krav til arbejdsmiljø og sikkerhed: produktion, energi, forsyning, transport og kemi. Og flere af NIS2’s principper ligner det, HSE-afdelingen allerede arbejder med:
| NIS2-princip | Det kender I fra HSE-arbejdet |
|---|---|
| Risikovurdering | APV og risikovurdering af arbejdsprocesser |
| Hændelsesrapportering med frister | Registrering og opfølgning på ulykker og nærved-hændelser |
| Ledelsesansvar og dokumentation | Den årlige arbejdsmiljødrøftelse og dokumentation over for Arbejdstilsynet |
| Leverandørstyring | Krav til leverandører, underleverandører og kemi |
Har I allerede en god struktur for at melde, følge op på og dokumentere hændelser i arbejdsmiljøet, har I et godt udgangspunkt for at bygge tilsvarende processer for cyberhændelser. Mange vælger at samle ledelsesrapporteringen, så bestyrelsen ser både arbejdsmiljø og informationssikkerhed i samme overblik.
Stil krav til jeres HSE-system som leverandør
Et arbejdsmiljøsystem indeholder følsomme oplysninger om ulykker, helbred og trivsel. Under NIS2 skal I vurdere sikkerheden hos jeres it-leverandører, og det gælder også jeres HSE-system. Spørg bl.a. til:
- Hvor ligger data, og bliver de i EU?
- Har leverandøren en uafhængig erklæring om informationssikkerhed, fx ISAE 3000?
- Hvordan håndteres brugeradgang, fx med single sign-on og to-faktor-login?
- Hvordan og hvor hurtigt informerer leverandøren om sikkerhedshændelser?
- Er der en databehandleraftale og en oversigt over underdatabehandlere?
Sådan understøtter Oshure jeres arbejde
Oshure er et arbejdsmiljøsystem, ikke et cybersikkerhedsværktøj. Men platformen hjælper jer med de processer, der ligger tæt op ad NIS2-arbejdet:
- Hændelser med frister: Ulykker og nærved-hændelser meldes fra telefonen og følges op med ansvarlige og deadlines i sager og indberetninger.
- Risikovurdering: APV og risikovurdering af arbejdsprocesser samlet og dokumenteret.
- Dokumentation og overblik: Handlingsplaner, møder og referater ét sted, klar til ledelse og tilsyn.
- Sikker leverandør: Data opbevares i EU, og platformen tilbyder Microsoft Entra-integration i Enterprise-pakken. Se vores databehandleraftale.
Ofte stillede spørgsmål
Hvornår trådte NIS2 i kraft i Danmark?
Den 1. juli 2025 med lov nr. 434 af 6. maj 2025. Kravene gælder fra den dato, uanset hvornår virksomheden registrerer sig.
Hvem fører tilsyn med NIS2?
Styrelsen for Samfundssikkerhed koordinerer, mens sektormyndighederne fører tilsyn på deres områder.
Hvor hurtigt skal en hændelse rapporteres?
En tidlig varsling inden 24 timer, en underretning inden 72 timer og en endelig rapport senest en måned efter.
Kan et arbejdsmiljøsystem gøre os NIS2-compliant?
Nej. NIS2 kræver cybersikkerhedsforanstaltninger, som et arbejdsmiljøsystem ikke dækker. Men et HSE-system kan understøtte processer for hændelser, risikovurdering og dokumentation.