Lovbemærkningerne til NIS 2-lovens § 32 nævner otte hensyn, når en bøde pålægges og udmåles, bl.a. overtrædelsens grovhed og varighed, forsæt eller uagtsomhed, hvad virksomheden har gjort for at forebygge eller afbøde skaden, og samarbejdet med myndighederne. En audit står ikke på listen som formildende, og ingen kan love, at den ændrer en bøde.
Artiklen gennemgår hensynene og forklarer, hvorfor dokumentation alligevel hører til i overvejelserne. Bødeniveauer nævnes ikke.
Straffen og hvem den rammer
Overtrædelser af en række af lovens bestemmelser straffes med bøde (§ 32, stk. 1). Selskaber og andre juridiske personer kan straffes (§ 32, stk. 2). Selve lovteksten angiver ikke et maksimum. Bemærkningerne forudsætter bødeniveauer, og dem gengiver vi ikke her.
Bøden kan ifølge bemærkningerne pålægges i tillæg til håndhævelsesforanstaltningerne, fx et påbud. Trinnene før bøden er beskrevet i varsel om påbud.
De otte hensyn
Bemærkningerne bygger på direktivets artikel 34, stk. 3, med henvisning til artikel 32, stk. 7. Forenklet gengivet er hensynene:
- Overtrædelsens grovhed og vigtigheden af de bestemmelser, der er overtrådt.
- Varigheden.
- Tidligere overtrædelser.
- Materiel eller immateriel skade, herunder hvor mange brugere der er ramt.
- Om overtrædelsen er begået med forsæt eller af uagtsomhed.
- Enhver foranstaltning, enheden har truffet for at forebygge eller afbøde skaden.
- Om godkendte adfærdskodekser eller certificeringsmekanismer er overholdt.
- Samarbejdet med myndighederne.
Under det første hensyn nævner bemærkningerne fem forhold, der under alle omstændigheder regnes som alvorlige: gentagne overtrædelser, manglende underretning om eller afhjælpning af væsentlige hændelser, manglende afhjælpning efter bindende instrukser, hindring af audits eller overvågning, som myndigheden har beordret efter at have konstateret en overtrædelse, og urigtige eller klart unøjagtige oplysninger.
Straffeloven gælder også
Bemærkningerne nævner, at straffelovens kapitel 10 om skærpende og formildende omstændigheder gælder. Straffens fastsættelse vil fortsat bero på domstolenes konkrete vurdering. Hvad der vejer tungt i en bestemt sag, kan derfor ikke siges på forhånd.
Hvor dokumentationen kommer ind
Vores tolkning er forsigtig. Hensyn 6 handler om forebyggelse og afbødning, og hensyn 8 om samarbejde. Begge forudsætter, at I kan vise, hvad I har gjort, og hvornår. En dateret audit med en handlingsplan og bevis for lukkede fund er én måde at vise det på. Det samme er ændringslogs, referater fra ledelsesorganet og jeres hændelsesrapporter.
Det er det, en audit kan bidrage med. Den kan vise en historik. Den kan ikke vise, at kravene var opfyldt på et tidspunkt, den ikke dækkede, og den giver ingen rabat. Grænserne for audittens bevisværdi er uddybet i hvad en NIS2-audit ikke beviser.
De alvorlige forhold er også auditpunkter
Flere af de fem alvorlige forhold kan efterprøves, før de bliver et problem:
- Gentagne overtrædelser. Står samme mangel i to rapporter, er det et signal, der fortjener ledelsens opmærksomhed. Se handlingsplanen er gået i stå.
- Manglende underretning. Kan I nå fristerne på 24 og 72 timer og en måned? Se audit af varsling og rapportering.
- Urigtige oplysninger. Kan tallene og svarene, I giver myndigheden, spores til kilden?
- Hindring af audits. Er det klart, hvem der giver adgang, når myndigheden beder om det?
Hensyn 7: kodekser og certificeringer
Det syvende hensyn handler om, hvorvidt godkendte adfærdskodekser eller certificeringsmekanismer er overholdt. Bemærkningerne siger ikke, hvilke kodekser eller ordninger der er tænkt på. Vi gætter ikke på det og skriver ikke, at en bestemt certificering tæller.
En sikkerhedsaudit er ikke en certificering. Den udtaler sig om, hvad der var på plads, da den blev lavet, målt mod de kriterier, der var aftalt. Forskellen er forklaret i hvad en sikkerhedsaudit ikke kan.
Samarbejdet i praksis
Det ottende hensyn, samarbejdet med myndighederne, er det, I har mest indflydelse på, når en sag først er i gang. Det følgende er praksis. Svar inden for fristerne. Giv det, der er bedt om, i den form, der er bedt om. Sig til, hvis noget ikke kan nås, og hvornår det kommer. Og notér alt, der går frem og tilbage, så forløbet kan dokumenteres bagefter.
Hvad det kræver, og hvad det koster at lade være
At kunne vise forebyggelse og samarbejde kræver, at dokumentationen opstår løbende. Bevis, der samles bagefter, er sværere at datere og lettere at så tvivl om.
Mangler historikken, er der mindre at pege på, hvis en sag opstår. Et hensyn, der handler om jeres egne skridt, forudsætter, at skridtene kan ses på papir.
Det skal I lade være med
- At bestille en audit for at få en lavere bøde · ingen kilde lover den virkning.
- At udskyde lukning af fund, der går igen fra år til år · gentagelse er et alvorligt forhold i bemærkningerne.
- At give myndigheden oplysninger, I ikke har kontrolleret · urigtige oplysninger står på samme liste.
Det skal auditten kunne vise
- ☐ En dateret historik over audits, fund og lukninger.
- ☐ Bevis for afhjælpning efter hændelser og instrukser.
- ☐ At oplysninger til myndigheden kan spores til et kildedokument.
- ☐ Hvem der har mandat til at give myndigheden adgang.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 32, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opfølgningsaudit og lukkebevis · Tallene bag ledelsesrapporteringen
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
