NIS 2-loven beskriver en væsentlig hændelse med ord som alvorlig og betydelig og giver ingen tal. Har I selv fastsat grænser for nedetid, berørte brugere og økonomisk tab, kan vagthavende afgøre sagen hurtigere, og I kan bagefter forklare, hvorfor en hændelse blev indberettet eller ej.
Tærsklerne er et værktøj til den vurdering, loven kræver. De erstatter den ikke. Denne artikel gennemgår, hvad lov og vejledning siger om dem, og hvordan en audit efterprøver dem.
Det, loven siger om væsentlighed
Når en hændelse er væsentlig, skal både CSIRT’en og den kompetente myndighed have besked efter § 12, stk. 1. Ved kompetent myndighed forstår loven tilsynsmyndigheden for netop jeres sektor. CSIRT’en er Danmarks nationale modtager af indberetninger om hændelser.
§ 12, stk. 2, rummer to spor. Det første handler om jer selv, nemlig alvorlige driftsforstyrrelser af tjenesterne eller økonomisk tab, som hændelsen har ført til eller kan føre til. Det andet handler om andre, der rammes eller kan rammes af betydelig skade, fysisk som ikkefysisk.
Den tidlige varsling efter § 13 har en yderste frist på 24 timer, regnet fra jeres kendskab til den væsentlige hændelse, og den sendes uden unødigt ophold. Den tid, det tager at afgøre væsentligheden, tæller altså med. Netop her gør faste grænser en forskel. Trinene står samlet i artiklen om varsling og rapportering.
Ministeren kan efter § 12, stk. 3, fastsætte nærmere regler om, hvornår en hændelse er væsentlig, og vejledningen nævner, at sektorer kan fastsætte nærmere regler. Tjek, om jeres sektor har gjort det, før I bygger egne tærskler. Er I en digital enhed, gælder forordningens tærskler, som står i væsentlig hændelse efter forordningen.
Vejledningen åbner for jeres egne grænser
Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning (juni 2025) nævner, at tilgængeligheden kan være kompromitteret, når målbare kriterier overskrides, som enheden selv har valgt som grænse for det acceptable eller kritiske. Vejledningen nævner andelen af brugere uden adgang og tiden uden adgang. Den nævner også forsinkelser, der væsentligt forringer kontraktligt garanterede leveringstider.
Varigheden måles fra afbrydelsen til genopretningen. Kan afbrydelsen ikke fastslås, måles fra opdagelsen eller logregistreringen, alt efter hvad der kom først. Planlagt vedligeholdelse underrettes ikke.
Vejledningen pålægger jer ikke at have egne tærskler. Den regner med, at I kan have dem. At tærsklerne kan forsvares, er den målestok, en auditor lægger til, og står ikke som krav i kilderne.
Tab og skade på andre
Vejledningen beskriver, hvad der tæller med i et økonomisk tab. Det er fx udskiftning af software og hardware, personaleomkostninger, kontraktbod, erstatning, kommunikation, rådgivning og digital efterforskning. Administrative bøder, almindelig drift, forbedringer efter hændelsen og forsikringspræmier tæller ikke med. Kan tabet ikke fastsættes, bør det estimeres.
To forhold regnes efter vejledningen altid som væsentlige. Det ene er tab af intellektuel ejendom og eksfiltrering af forretningshemmeligheder. Det andet er skade på tredjepart, fx ødelæggelse af kritiske fysiske eller digitale aktiver, dødsfald, hospitalsindlæggelse, kvæstelser eller væsentlige økonomiske konsekvenser for andre.
Vejledningens eksempler indeholder konkrete timer og andele. De er illustrationer. Brug dem ikke som jeres egne tal uden at have regnet på jeres egne tjenester.
Sådan ser auditten på tærsklerne
Det følgende er auditpraksis og ikke krav i loven eller vejledningen.
Auditor begynder med at finde tærsklerne på skrift. De står typisk i hændelsesproceduren eller i risikovurderingen. Dernæst spørger auditor, hvem der har godkendt dem, og hvornår de sidst blev set igennem.
Så kommer sammenhængen. Auditor forventer, at en grænse for nedetid kan føres tilbage til den tjeneste, der gør jer omfattet, og til det, I har lovet kunderne i aftalerne. En grænse, der ligger langt over de garanterede leveringstider, er svær at forsvare, fordi vejledningen selv peger på de kontraktlige tider.
Derefter målbarheden. Kan I faktisk se tiden uden adgang i jeres logs, eller er tallet et skøn bagefter? Her hænger tærsklerne sammen med logning og overvågning.
Til sidst prøves tærsklerne på virkelige sager. Auditor tager en stikprøve af hændelser fra perioden og ser, om hver blev holdt op mod grænserne, og om konklusionen blev skrevet ned med tidspunkt.
Når tærskler svækker vurderingen
Tærskler kan gøre skade. Ligger de højt, falder hændelser, der burde være indberettet, under radaren. Er de skrevet som den eneste vej til en afgørelse, kan den person, der har vagten, føle sig bundet af tallet, selv om en hændelse åbenlyst skader andre.
Et robust oplæg kombinerer derfor tal med vejledningens beslutningstræ i bilag 1, der spørger, om systemerne bag lovens tjenester er berørt, og om der er alvorlig driftsforstyrrelse, betydeligt tab eller betydelig skade på andre. Beslutningen træffes stadig ud fra § 12, stk. 2. Hændelseshåndteringen som helhed er beskrevet i audit af hændelseshåndteringen.
Hvad det kræver, og hvad det koster at lade være
At fastsætte tærskler kræver, at nogen kender tjenesterne, kontrakterne og logningen. For en virksomhed med få omfattede tjenester er det et par arbejdsmøder og en godkendelse. Har I mange tjenester med forskellige leveringstider, tager det længere tid, fordi grænserne må fastsættes pr. tjeneste.
Uden tærskler afgøres væsentligheden fra sag til sag under tidspres. Det giver uens beslutninger, og det er svært at vise tilsynet bagefter, hvorfor to ens hændelser fik to forskellige svar.
Det skal I lade være med
- At kopiere tallene fra vejledningens eksempler · de er illustrationer og passer ikke nødvendigvis til jeres tjenester.
- At lade tallet afgøre alt · lovens definition og skaden på andre gælder, selv om en grænse ikke er nået.
- At glemme de kontraktlige leveringstider · vejledningen peger selv på dem som målestok.
Det skal auditten kunne vise
- ☐ Tærskler pr. omfattet tjeneste, skrevet ned og godkendt med dato.
- ☐ En begrundelse, der fører grænserne tilbage til risikovurderingen og kundeaftalerne.
- ☐ Logs eller målinger, der gør det muligt at se, om en grænse er overskredet.
- ☐ Hændelser fra perioden med den dokumenterede vurdering af væsentlighed.
- ☐ Et tjek af, om sektoren har fastsat nærmere regler.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hver omfattet tjeneste den nedetid og det antal berørte brugere op, som I ikke vil acceptere, og sammenlign med kundeaftalerne.
Læs også: Hvem kan afgøre, om hændelsen er væsentlig? · Auditten finder en hændelse, ingen har underrettet om
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
