Rammer en væsentlig hændelse en virksomhed under NIS 2-loven, begynder tre frister at løbe. Varslingen skal afsted inden 24 timer fra kendskab, underretningen inden 72 timer, og den afsluttende rapport inden en måned efter underretningen. En audit af punktet afprøver, om vejen fra opdagelse til indberetning faktisk kan gås inden for de frister.
Fristerne står i loven. Arbejdsgangen bag dem er jeres egen, og den bliver ikke afprøvet af sig selv.
Fristerne, som loven skriver dem
Pligten til at underrette står i § 12, stk. 1. Modtagerne er to. Den ene er den kompetente myndighed, som er lovens ord for jeres tilsynsmyndighed. Den anden er CSIRT’en, det nationale hold, der tager imod og behandler underretningerne.
Forenklet sagt gør § 12, stk. 2, en hændelse væsentlig i to tilfælde. Det første er alvorlig forstyrrelse af tjenesterne eller økonomisk tab hos jer selv. Det andet er betydelig skade hos andre, fysisk eller ikkefysisk. Begge dele gælder også, hvis skaden blot kan ske.
§ 13, stk. 1, fastlægger trinene:
- En tidlig varsling uden unødigt ophold og senest inden for 24 timer efter kendskab. Den skal angive, om hændelsen mistænkes at skyldes ulovlige eller ondsindede handlinger, og om den kan have grænseoverskridende virkning.
- En hændelsesunderretning senest 72 timer efter kendskab, med en indledende vurdering af alvor og indvirkning og eventuelle kompromitteringsindikatorer, altså tegn, der kan afsløre angrebet hos andre.
- En foreløbig rapport, hvis CSIRT’en beder om det.
- En endelig rapport, der skal ligge hos myndighederne senest en måned efter hændelsesunderretningen. Den beskriver hændelsen i detaljer, truslen eller årsagen, hvad der er gjort for at begrænse den, og om den har ramt andre lande.
- Er hændelsen ikke overstået på det tidspunkt, kommer der i stedet en statusrapport. Den endelige rapport følger så senest en måned efter, at hændelsen er håndteret.
Tillidstjenesteudbydere har en kortere frist for hændelsesunderretningen (§ 13, stk. 2). Begge paragraffer er omfattet af bødereglen i § 32, stk. 1, nr. 1.
“Uden unødigt ophold” er mere end fristen
Styrelsen for Samfundssikkerhed læser ordene stramt i sin vejledning om underretning fra juni 2025. Står det klart, at hændelsen er væsentlig, går varslingen afsted med det samme, og enheden skal ikke vente på, at fristen rinder ud. Kun behørigt begrundede omstændigheder kan efter vejledningen føre til, at man venter helt til 24 eller 72 timer.
Uret starter, når I bliver klar over, at der er tale om en væsentlig hændelse. Får I et tip fra en kunde, en myndighed eller en journalist, skal I efter vejledningen rettidigt vurdere hændelsen. Tiden mellem tippet og vurderingen er derfor et af de punkter, auditor ser på.
Er hændelsen afsluttet hurtigt, fx på 17 timer, sendes efter vejledningens bilag alene den endelige rapport.
Hvor underretningen sendes
Underretningen sker via virk.dk og går automatisk til både den kompetente myndighed og CSIRT’en. I samme indberetning kan I krydse af for at underrette Datatilsynet om et brud på persondatasikkerheden. Auditor ser efter, om nogen i huset har adgang til indberetningen og ved, hvor den ligger, også uden for kontortid.
På vej, ikke vedtaget. Kommissionen foreslog i november 2025 et fælles indgangspunkt for hændelsesindberetninger efter blandt andet NIS 2, GDPR og DORA (forslaget kaldes Digital Omnibus, COM(2025) 837). Rådets mandat af 21. oktober 2026 erstatter det fælles punkt på EU-plan med et nationalt indgangspunkt i hvert land og et informationspunkt hos EU. Ifølge Rådet går forhandlingerne i gang, når Parlamentet har fastlagt sin position. Ændringerne er foreslået, ikke vedtaget pr. 13. november 2026, og fristerne i § 13 gælder uændret. Proceduren bør gennemgås igen, når en aftale foreligger.
Sådan afprøver auditor arbejdsgangen
Afprøvningen herunder er almindelig auditpraksis. Hverken loven eller vejledningerne foreskriver den. Vejledningen om cybersikkerhedsforanstaltninger anbefaler dog, at procedurerne for hændelseshåndtering testes med planlagte mellemrum.
Auditor begynder med proceduren. Står der, hvem der vurderer, om en hændelse er væsentlig, hvem der udfylder indberetningen, og hvem der godkender den, før den sendes? Er der en stedfortræder for hver rolle? Vurderingen hænger sammen med jeres egne tærskler for en væsentlig hændelse.
Derefter ser auditor på tidsstemplerne i de hændelser, I har haft. Hvornår blev den første alarm registreret, hvornår blev hændelsen vurderet, og hvornår blev der indberettet? Er der ingen væsentlige hændelser, kan tidsstemplerne fra mindre sager stadig vise, hvor lang tid en vurdering tager.
Til sidst kan auditor foreslå en kort øvelse med uret. Et tænkt scenarie bliver spillet igennem, og deltagerne udfylder et udkast til tidlig varsling med de oplysninger, de ville have. Øvelsen viser, hvor oplysningerne mangler. Den slags øvelser er beskrevet i øvelser som bevis.
Oplysningerne, der skal samles
Vejledningens bilag lister, hvad hvert trin skal indeholde. Ved den tidlige varsling er det bl.a. tidslinje, type og årsag, antal og andel berørte brugere, varighed, involverede leverandører og behov for assistance. Ved 72 timer kommer omfang, en eventuelt udnyttet sårbarhed og de foranstaltninger, der er truffet. Den endelige rapport rummer bl.a. berørte tjenester, kompromitteringsindikatorer og de erfaringer, enheden har gjort.
Auditor ser efter, om nogen ved, hvor de oplysninger hentes fra. Antallet af berørte brugere kommer fx sjældent af sig selv. Er det driftsleverandøren, der har tallene, skal aftalen sige, at de udleveres hurtigt. Hvis leverandøren skal indberette for jer, er ansvaret stadig jeres, se leverandøren underretter på jeres vegne.
Hvad det kræver, og hvad det koster at lade være
Arbejdsgangen kræver en kort procedure, en rolle med stedfortræder, adgang til indberetningen og en skabelon med de oplysninger, bilaget beder om. En øvelse en gang imellem holder den i gang.
Uden den bruges de første timer af en hændelse på at finde ud af, hvem der må indberette, og hvor man gør det. Fristen er strafbelagt, og en sen eller mangelfuld varsling bliver et selvstændigt problem oven i hændelsen.
Det skal I lade være med
- At vente til time 23 · vejledningen siger, at I underretter, så snart hændelsen er vurderet som væsentlig.
- At have én person, der kan indberette · en hændelse kommer også i ferien.
- At lade leverandøren stå for det uden aftale og kontrol · ansvaret for rettidig underretning forbliver hos jer.
Det skal auditten kunne vise
- ☐ En procedure for underretning med roller, stedfortrædere og godkendelse.
- ☐ Adgang til indberetning via virk.dk for mindst to personer.
- ☐ En skabelon med de oplysninger, vejledningens bilag beder om ved hvert trin.
- ☐ Tidsstempler fra opdagelse til vurdering i de seneste hændelser.
- ☐ Mindst én afprøvning af arbejdsgangen, eller en begrundelse for, at den ikke er gennemført.
- ☐ Aftaler med driftsleverandører om at levere oplysninger inden for fristerne.
Kilder
- Europa-Kommissionen, forslag COM(2025) 837 af 19. november 2025 (Digital Omnibus), procedure 2025/0360(COD), https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025PC0837, læst 12. november 2026.
- Rådet for Den Europæiske Union, pressemeddelelse af 21. oktober 2026 om Rådets forhandlingsmandat til Digital Omnibus (opdateret 22. oktober 2026), https://www.consilium.europa.eu/en/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/, læst 13. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12, 13 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kap. 3 og 4 og bilag 2, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-handelsesunderretning-2025.pdf, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, NIS 2-tilsyn, https://samsik.dk/tilsyn/nis2-tilsyn/, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 2.a, https://samsik.dk/wp-content/uploads/2025/08/Vejledning-til-implementering-af-cybersikkerhedsforanstaltninger.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv navnene på de personer, der i dag kan indberette en hændelse på virk.dk. Er der kun ét navn, er det jeres første opgave.
Læs også: Audit af hændelseshåndteringen · Hændelsesunderretninger og aktindsigt
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
