NIS2-software hjælper danske organisationer med at opfylde kravene i NIS2-direktivet (direktiv (EU) 2022/2555), som Danmark har gennemført med den nye cybersikkerhedslov, der trådte i kraft den 1. juli 2025: risikostyring, incidentrapportering inden for fastsatte frister, ledelsesansvar og kontrol med leverandørkæden. For en dansk virksomhed, der er omfattet, er det rigtige værktøj i 2026 en platform, der dokumenterer tekniske og organisatoriske sikkerhedsforanstaltninger, håndterer incidentrapportering til tilsynsmyndigheden og holder et ajourført register over risici og leverandører – til en årspris på typisk 30.000-200.000 kr. Denne guide gennemgår de danske krav, kriterierne der afgør valget, og hvordan NIS2-værktøjer adskiller sig fra ren GDPR-software.
NIS2 i Danmark: hvad gælder?
Danmark var sent ude med gennemførelsen. Direktivets EU-frist var den 17. oktober 2024, men den danske lov – officielt lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (lov nr. 434 af 6. maj 2025) – trådte først i kraft den 1. juli 2025. Tilsynet er delt: Styrelsen for Samfundssikkerhed (SAMSIK) har det overordnede ansvar og koordinerer på tværs af sektorer, mens sektormyndigheder som Digitaliseringsstyrelsen (digital infrastruktur), Energistyrelsen og Sundhedsdatastyrelsen fører tilsyn med deres områder. Omfattede virksomheder skulle selv registrere sig senest den 1. oktober 2025.
Direktivet skelner mellem væsentlige entiteter (blandt andet energi, transport, bankvæsen, sundhed, digital infrastruktur) og vigtige entiteter (blandt andet fødevarer, fremstilling, digitale udbydere). Tærsklen er som udgangspunkt mellemstore virksomheder og opefter, men visse sektorer er omfattet uanset størrelse. I alt anslås omkring 6.000 danske virksomheder at være omfattet.
Sanktioner. NIS2 fastsætter mærkbare bøder: for væsentlige entiteter op til 10 mio. euro eller 2 procent af den globale årsomsætning, og for vigtige entiteter op til 7 mio. euro eller 1,4 procent. Direktivet indfører desuden personligt ansvar for ledelsen, der skal godkende og overvåge risikostyringsforanstaltningerne.
Hvilke krav skal softwaren dække?
| Krav (NIS2) | Hvad det indebærer | Hvad værktøjet skal kunne |
|---|---|---|
| Risikostyring (art. 21) | Tekniske og organisatoriske foranstaltninger | Struktureret risikoanalyse og foranstaltningsregister |
| Incidentrapportering (art. 23) | Tidlig varsling inden 24 t, rapport inden 72 t | Arbejdsflow med fristovervågning mod tilsynsmyndighed |
| Leverandørkæde | Kontrol af underleverandørers sikkerhed | Register over leverandører og deres foranstaltninger |
| Ledelse | Ledelsens ansvar og uddannelse | Sporbar dokumentation af beslutninger og træning |
| Kontinuitet | Krisestyring og genopretning | Kontinuitetsplan og test |
Incidentfristerne er strengere end under GDPR: en tidlig varsling inden 24 timer og en fuld rapport inden 72 timer. Et værktøj uden fristovervågning og et tydeligt arbejdsflow gør den frist svær at holde under pres.
Udvalgskriterier for danske organisationer
- Dansk dokumentation og rapportering. Rapporter og registre læses af SAMSIK og sektormyndighederne. Dansk output er et praktisk krav.
- EU-hosting. Sikkerhedsdokumentation er følsom; data bør holdes i EU.
- Overlap med GDPR. Mange NIS2-foranstaltninger overlapper artikel 32 i databeskyttelsesforordningen. Et værktøj, der kobler sikkerhedsforanstaltninger til fortegnelsen, reducerer dobbeltarbejde.
- Leverandørstyring. Kontrollen med leverandørkæden ligner håndteringen af databehandlere – et værktøj, der klarer begge, sparer tid.
Incidentrapportering: de tre trin
NIS2’s rapporteringspligt er trinvis, og softwaren skal understøtte alle tre trin. Først en tidlig varsling inden 24 timer efter, at organisationen er blevet opmærksom på en væsentlig hændelse, med en foreløbig vurdering. Dernæst en hændelsesnotifikation inden 72 timer med en opdateret vurdering af hændelsens alvor og virkning. Endelig en endelig rapport senest en måned efter, med en detaljeret beskrivelse af hændelsen, dens årsag og de trufne foranstaltninger. Fristerne er ubønhørlige og løber, mens organisationen samtidig håndterer selve hændelsen – det er præcis derfor, et arbejdsflow med automatisk fristovervågning er afgørende. Et værktøj, der guider gennem de tre trin og holder styr på, hvad der skal indberettes hvornår og til hvilken myndighed, gør forskellen på en rettidig og en forsinket rapportering under pres.
Softwarealternativer
Markedet deler sig i tre kategorier. Rene GRC-platforme dækker risiko, incident og leverandører bredt, men kræver ofte konfiguration. GDPR-platforme med sikkerhedsmodul – som Legiscope – er stærke, når NIS2-arbejdet skal samordnes med eksisterende databeskyttelsesdokumentation, fordi sikkerhedsforanstaltninger og fortegnelse holdes samme sted. Sikkerhedsspecifikke værktøjer (Vanta, Sprinto) automatiserer teknisk bevisindsamling, men behandler NIS2 som én ramme blandt flere og er svagere på dansk rapportering og ledelsesdokumentation.
For de fleste danske mellemstore virksomheder, der allerede har et GDPR-program, er den mest omkostningseffektive vej at udvide den eksisterende platform med NIS2-funktioner frem for at købe et separat system. Sammenlign bredere i GDPR-software sammenligning og se den overordnede danske ramme i databeskyttelse i Danmark.
De ti minimumsforanstaltninger efter artikel 21
NIS2 præciserer i artikel 21, stk. 2, en række risikostyringsforanstaltninger, som enhver omfattet organisation skal træffe. Softwaren bør understøtte dokumentation og opfølgning på dem alle:
- Risikoanalyse og politikker for informationssikkerhed
- Incidenthåndtering
- Kontinuitet, backup og katastrofegenopretning
- Sikkerhed i leverandørkæden
- Sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer
- Procedurer til at vurdere foranstaltningernes effektivitet
- Grundlæggende cyberhygiejne og uddannelse
- Kryptografi og kryptering
- Personalesikkerhed, adgangskontrol og aktivstyring
- Multifaktorautentifikation og sikker kommunikation
Et værktøj, der strukturerer disse ti områder og kobler dem til beviser og ansvarlige personer, gør det muligt at fremvise efterlevelsen ved et tilsyn frem for at samle materialet i sidste øjeblik.
Ledelsens ansvar
En af de største nyheder i NIS2 er, at ansvaret løftes til ledelsesniveau. Bestyrelsen eller det tilsvarende ledelsesorgan skal godkende risikostyringsforanstaltningerne, overvåge deres gennemførelse og kan holdes ansvarlig ved mangler. Ledelsen skal desuden gennemgå uddannelse i cybersikkerhedsrisici. I praksis betyder det, at dokumentationen ikke kun er et teknisk grundlag, men også et styringsdokument, der skal nå frem til og godkendes af den øverste ledelse. Et værktøj, der producerer forståelige ledelsesrapporter frem for kun tekniske logfiler, har derfor en værdi ud over den rene efterlevelse.
Kostnad
En NIS2-tilpasset platform koster typisk 30.000-200.000 kr. om året afhængigt af organisationens størrelse og antal sektorer. Indgangsniveauet for en mellemstor virksomhed ligger ofte på 30.000-80.000 kr., mens væsentlige entiteter med komplekse leverandørkæder lander højere. Se den generelle prisgennemgang for prismodeller; principperne gælder også NIS2-værktøjer. Overlapper jeres aktiviteter med den finansielle sektor, se også DORA-software.
Væsentlige kontra vigtige entiteter: hvad betyder det for værktøjsvalget?
Sondringen mellem væsentlige og vigtige entiteter påvirker ikke selve sikkerhedskravene – de ti minimumsforanstaltninger i artikel 21 er de samme – men den påvirker tilsynets intensitet og sanktionsniveauet. Væsentlige entiteter er underlagt proaktivt tilsyn og kan blive kontrolleret uden forudgående mistanke, mens vigtige entiteter primært kontrolleres reaktivt, når der er anledning til det. For værktøjsvalget betyder det, at en væsentlig entitet – for eksempel et energiselskab eller en større sundhedsudbyder – har endnu større behov for løbende, sporbar dokumentation, fordi tilsynet kan komme uanmeldt. En vigtig entitet kan i praksis nøjes med en lettere opsætning, men bør stadig kunne fremvise dokumentationen ved en reaktiv kontrol. En dansk virksomhed bør derfor afklare sin kategori tidligt og vælge et ambitionsniveau, der matcher tilsynsformen. Se den fulde gennemgang af de danske regler i NIS2 i Danmark.
Almindelige fejl ved NIS2-efterlevelse
- At antage at man ikke er omfattet. Mange danske virksomheder undervurderer, hvor bredt NIS2 rammer, især inden for fremstilling, fødevarer og digitale tjenester. Registreringspligten hos SAMSIK blev overset af mange.
- At se det som udelukkende en it-opgave. Ledelsen skal godkende og overvåge foranstaltningerne; ansvaret kan ikke delegeres helt væk.
- At glemme leverandørkæden. Underleverandørers sikkerhed er en udtrykkelig del af kravene, ikke et frivilligt tillæg – på linje med håndteringen af databehandlere under GDPR.
- At mangle beviser. At have foranstaltninger på plads er ikke nok, hvis de ikke kan dokumenteres og fremvises ved en kontrol.
At undgå disse fejl kræver, at arbejdet påbegyndes, før loven kræver det, og at dokumentationen bygges løbende. Et værktøj, der strukturerer de ti foranstaltninger og kobler dem til beviser og ansvarlige, gør den forskel praktisk gennemførlig frem for en teoretisk ambition.
Ofte stillede spørgsmål
Hvad koster NIS2-software i Danmark?
Typisk 30.000-200.000 kr. om året. For en mellemstor virksomhed, der udvider en eksisterende GDPR-platform med NIS2-funktioner, bliver merprisen ofte lavere end for et selvstændigt GRC-system. Holdt op mod NIS2’s sanktionsloft – op til 10 mio. euro eller 2 procent af omsætningen – er investeringen beskeden.
Er min virksomhed omfattet af NIS2?
Hvis I er en mellemstor eller større virksomhed i en af de sektorer, direktivet nævner (energi, transport, bank, sundhed, digital infrastruktur, fødevarer, fremstilling m.fl.), er I sandsynligvis omfattet. Visse sektorer er omfattet uanset størrelse. Den danske cybersikkerhedslov præciserer anvendelsen, og omfattede virksomheder skulle registrere sig hos SAMSIK. En kortlægning af sektor og størrelse bør ske tidligt.
Er vores GDPR-software nok til NIS2?
Delvist. Sikkerhedsforanstaltningerne efter artikel 32 i databeskyttelsesforordningen overlapper NIS2’s risikostyring, men NIS2 kræver derudover incidentrapportering til en anden myndighed, ledelsesansvar og kontrol med leverandørkæden. En platform, der dækker begge rammer, er at foretrække frem for to separate systemer.
Konklusion
NIS2 hæver barren for danske organisationers cybersikkerhed med bindende frister, ledelsesansvar og bøder op til 10 mio. euro. Med cybersikkerhedsloven i kraft siden 1. juli 2025 og registrering hos SAMSIK bør omfattede virksomheder ikke vente. Den rigtige software dokumenterer risikoforanstaltninger, holder incidentrapporteringen inden for 24- og 72-timersfristerne og samler leverandørkæden ét sted – helst integreret med eksisterende GDPR-dokumentation for at undgå dobbeltarbejde. Prioritér de mest kritiske processer, forankr foranstaltningerne hos ledelsen, og behandl efterlevelse som en løbende proces frem for et engangsprojekt.
See Legiscope in action
AI-powered GDPR compliance that saves 340+ hours/year. Trusted by compliance professionals across Europe.
Request a demo