Ud over den pligtige underretning om væsentlige hændelser giver NIS 2-loven to frivillige muligheder. I kan underrette CSIRT’en om hændelser, der ikke er væsentlige, om nærvedhændelser og om cybertrusler. Og I kan deltage i cybersikkerhedsfællesskaber, hvor virksomheder udveksler oplysninger.
Det frivillige er ikke et krav, og en audit kan ikke notere det som en mangel, at I ikke bruger det. Men § 19 indeholder én pligt, der let overses, og den frivillige underretning har en retsvirkning, der er værd at kende.
Frivillig underretning efter § 14
§ 14, stk. 1, lader offentlige og private enheder underrette CSIRT’en om hændelser, nærvedhændelser og cybertrusler, uanset om enhederne er omfattet af loven. CSIRT’en er det nationale sted, hvor underretninger lander og bliver behandlet. Begrebet nærvedhændelse er defineret i lovens § 3, nr. 22. Læs definitionen der, før I beslutter, hvad I vil registrere som nærvedhændelser internt.
Efter § 14, stk. 2, behandler CSIRT’en de frivillige underretninger som de obligatoriske, men den kan prioritere de obligatoriske.
I kapitel 7 i styrelsens underretningsvejledning fra juni 2025 bekræftes det, at væsentlige og vigtige enheder også frivilligt kan underrette om ikke-væsentlige hændelser, cybertrusler og nærvedhændelser. Det sker via virk.dk ligesom de pligtige underretninger.
Den frivillige underretnings særlige status
Efter § 14, stk. 3, kan ingen få aktindsigt eller partsaktindsigt i de frivillige underretninger efter offentlighedsloven og forvaltningsloven. De obligatoriske underretninger efter § 12 har ikke den undtagelse i loven. Forskellen er beskrevet i hændelsesunderretninger og aktindsigt.
Bemærkningerne til loven, citeret i vejledningen, holder dog en virksomheds adgang til oplysninger om sig selv uden for undtagelsen.
En frivillig underretning erstatter ikke en pligtig. Er en hændelse væsentlig efter § 12, stk. 2, gælder fristerne i § 13. Grænsen mellem de to står i jeres egne tærskler for en væsentlig hændelse.
Cybersikkerhedsfællesskaber efter § 19
§ 19, stk. 1, giver CSIRT’en til opgave at facilitere frivillig udveksling af oplysninger i cybersikkerhedsfællesskaber. Ikke-omfattede enheder kan også deltage (stk. 3).
Stk. 2 indeholder en pligt. Væsentlige og vigtige enheder, der indgår i eller udtræder af cybersikkerhedsfællesskaber efter stk. 1, skal underrette den kompetente myndighed herom. Den kompetente myndighed er den myndighed, der fører tilsyn med jeres sektor.
Hvordan underretningen efter § 19, stk. 2, foregår i praksis, er ikke fundet i de kilder, denne artikel bygger på. Spørg jeres sektors myndighed, hvis I er i tvivl. Artiklen nævner ingen bestemte fællesskaber.
Hvorfor det hører med i en audit
Det følgende er praksis og tolkning.
Det frivillige siger noget om, hvordan virksomheden lærer. En virksomhed, der registrerer nærvedhændelser internt og vurderer, om de er værd at dele, har ofte en mere moden hændelseshåndtering end en, der kun reagerer på det, loven kræver. Tag et tænkt eksempel. En medarbejder giver sin adgangskode til en falsk loginside, men MFA standser forsøget. Det er næppe en væsentlig hændelse efter § 12, men den fortæller noget om, hvad angriberne prøver, og kan være værd at registrere og eventuelt dele. Auditor kan bruge den slags som en observation om modenhed. Det er ikke et fund mod et krav.
Pligten i § 19, stk. 2, er en anden sag. Deltager I i et fællesskab efter § 19, stk. 1, og har I ikke underrettet myndigheden, er det et brud på en “skal”-bestemmelse.
Vejledningen om cybersikkerhedsforanstaltninger anbefaler desuden i afsnit 3.d, at I har en fast måde at tage imod og bruge det, CSIRT’en og myndigheden sender ud. Oplysninger fra et fællesskab kan indgå i den proces og i risikovurderingen.
Sådan efterprøver en audit punktet
Fremgangsmåden er praksis.
Politikken. Auditor ser, om hændelsesproceduren tager stilling til frivillig underretning: hvem der beslutter, og hvad der skal til.
Nærvedhændelserne. Auditor spørger, om nærvedhændelser registreres internt, og hvad der sker med dem.
Fællesskaberne. Auditor spørger, om virksomheden deltager i et cybersikkerhedsfællesskab efter § 19, stk. 1, og beder i givet fald om dokumentation for underretningen til myndigheden ved indtræden og udtræden.
Brugen af oplysningerne. Auditor ser, om oplysninger fra CSIRT’en, myndigheden eller et fællesskab faktisk bliver brugt, fx i trusselsbilledet i risikovurderingen.
Hvad det kræver, og hvad det koster at lade være
At tage stilling til det frivillige kræver et afsnit i hændelsesproceduren og en beslutning om, hvem der vurderer nærvedhændelser. Pligten i § 19, stk. 2, kræver blot, at nogen ved, hvilke fællesskaber virksomheden deltager i, og giver myndigheden besked ved ændringer.
Uden overblik kan en medarbejder have meldt virksomheden ind i et fællesskab, uden at myndigheden har fået besked. Det er et brud på en pligt, som er let at undgå.
Det skal I lade være med
- At sende en frivillig underretning i stedet for en pligtig · fristerne i § 13 gælder stadig.
- At glemme at give myndigheden besked om fællesskaber · § 19, stk. 2, er en pligt.
- At lade nærvedhændelser forsvinde i supportsager · de er kilden til læring.
Det skal auditten kunne vise
- ☐ Stillingtagen i hændelsesproceduren til frivillig underretning.
- ☐ Registrering og vurdering af nærvedhændelser.
- ☐ En oversigt over deltagelse i cybersikkerhedsfællesskaber.
- ☐ Underretning til den kompetente myndighed ved indtræden og udtræden.
- ☐ Spor af, at oplysninger fra CSIRT’en eller fællesskaber bliver brugt.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 3, 14 og 19, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kapitel 7, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 3.d, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Spørg i organisationen, om nogen har meldt virksomheden ind i et fællesskab om cybersikkerhed, og se, om myndigheden har fået besked.
Læs også: Sektorens trusselsvurdering i risikovurderingen · Kan I nå 24 timer, 72 timer og en måned?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
