Fristerne for at underrette om en væsentlig hændelse løber fra det tidspunkt, hvor virksomheden har fået kendskab til den. Finder en audit en hændelse, der kan være væsentlig, skal virksomheden derfor rettidigt vurdere den. Pligten til at underrette ligger hos virksomheden.
Det er en situation, få planlægger for. Artiklen beskriver, hvad loven og Styrelsen for Samfundssikkerheds vejledning siger, og hvor kilderne ikke giver svar.
Hvornår begynder fristen?
Efter NIS 2-lovens § 13, stk. 1, nr. 1 og 2, regnes fristerne på 24 og 72 timer fra, at enheden har fået kendskab til den væsentlige hændelse. Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning siger, at fristen gælder fra det øjeblik, enheden bliver opmærksom på en væsentlig hændelse.
Vejledningen beskriver også situationen, hvor en mulig hændelse bringes til enhedens opmærksomhed af en tredjepart. Den nævner som eksempler en person, en kunde, en enhed, en myndighed, en medieorganisation eller en anden kilde. Enheden skal da rettidigt vurdere den. “Uden unødigt ophold” betyder ifølge vejledningen, at enheden ikke skal vente til fristernes udløb.
En auditor, der peger på noget, der ligner en hændelse, er efter vores læsning en sådan kilde. Det er en tolkning af vejledningens opremsning, der nævner “en anden kilde”.
Hvem har pligten?
Efter § 12 er det enheden, der underretter myndigheden og CSIRT’en om væsentlige hændelser. Hverken loven eller vejledningen pålægger en ekstern auditor en underretningspligt over for myndighederne. Det er lovens fordeling. Hvad auditor må og skal efter sin egen aftale om fortrolighed, er et spørgsmål for auditaftalen, som er beskrevet i auditaftalen.
Vejledningen nævner også outsourcet drift. En leverandør kan underrette på virksomhedens vegne efter aftale, men ansvaret for rettidig underretning påhviler altid enheden. Se leverandøren underretter på jeres vegne.
Hvad I gør først
Det følgende er praksis, bygget på lovens og vejledningens ord.
- Notér tidspunktet. Skriv ned, hvornår og hvordan oplysningen nåede virksomheden, og hvem der fik den. Det tidspunkt kan blive afgørende for, om fristerne er overholdt.
- Vurder hændelsen efter jeres egne tærskler. Er den væsentlig efter § 12, stk. 2? Har I tærskler, der er skrevet ned, bruges de. Se jeres egne tærskler for en væsentlig hændelse.
- Indkald dem, der kan afgøre det. Hvem kan træffe beslutningen om underretning, og er de til rådighed inden for timer? Se hvem kan afgøre, om hændelsen er væsentlig?.
- Underret, hvis den er væsentlig. Underretning sker via Virk.dk, hvorfra den automatisk går til den sektoransvarlige myndighed og CSIRT’en. I kan samtidig markere, at Datatilsynet skal underrettes om et brud på persondatasikkerheden, hvis det er relevant.
- Dokumentér vurderingen. Også en vurdering af, at hændelsen ikke er væsentlig, skrives ned med begrundelse.
Den gamle hændelse
Nogle fund handler om noget, der skete for længe siden og er overstået. Hvordan en afsluttet hændelse, der aldrig er underrettet om, skal håndteres, er ikke beskrevet i loven eller vejledningen, og her giver artiklen intet svar. Det, der kan siges, er, at enheden vurderer den og kontakter myndigheden, hvis der er tvivl.
Loven giver også mulighed for frivillig underretning af hændelser, nærvedhændelser og cybertrusler efter § 14. Frivillige underretninger er undtaget fra aktindsigt efter § 14, stk. 3. Om en sen underretning af en væsentlig hændelse kan ske som frivillig, siger kilderne ikke. Se frivillig underretning.
Hvad auditten skal skrive
Det følgende er praksis. Auditrapporten bør beskrive fundet sagligt: hvad der blev observeret, hvornår, og hvilket bevis der ligger. Den bør ikke konkludere, at hændelsen var væsentlig, medmindre det var en del af opdraget. Den vurdering hører til virksomheden. Til gengæld er det et fund, hvis virksomheden ikke har en procedure, der kunne have fanget hændelsen i første omgang.
Når auditor er en ekstern part
Det følgende er praksis. Det er en god idé at skrive ind i auditaftalen, hvordan auditor skal melde noget, der ligner en hændelse, mens auditten pågår. Hvem i virksomheden skal have besked, hvordan, og hvor hurtigt? Uden den aftale kan en observation ligge i auditors noter, indtil rapporten skrives. Aftalen bør også beskrive, at auditor ikke tager stilling til, om hændelsen er væsentlig, medmindre det er en del af opdraget.
Hvad det kræver, og hvad det koster at lade være
At være klar kræver en aftale med auditor om, hvordan mulige hændelser meldes undervejs, og til hvem. Og det kræver, at vurderingsproceduren kan sættes i gang uden for den normale hændelsesvagt.
Venter oplysningen på den endelige rapport, kan der gå uger, mens fristen efter vejledningens ord allerede løber. Den tid kan ikke hentes ind bagefter.
Det skal I lade være med
- At vente på den endelige auditrapport · fristen løber fra kendskabet.
- At lade auditor afgøre, om hændelsen er væsentlig · pligten og vurderingen er jeres.
- At undlade at skrive en vurdering ned, fordi konklusionen blev nej · begrundelsen skal kunne vises.
Det skal auditten kunne vise
- ☐ En aftale om, hvordan auditor melder mulige hændelser undervejs.
- ☐ Tidspunktet, hvor virksomheden fik kendskab, og hvem der fik det.
- ☐ En dateret vurdering af, om hændelsen er væsentlig, med begrundelse.
- ☐ Underretning eller kontakt til myndigheden, hvis vurderingen førte til det.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12, 13 og 14, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven: Hændelsesunderretning, juni 2025, afsnit 2, 3 og 4, https://samsik.dk/wp-content/uploads/2025/06/SAMSIK-vejledning-om-handelsesunderretning-2025.pdf, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit efter en væsentlig hændelse · Underretninger og aktindsigt
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
