Når noget går galt en fredag aften, skal nogen afgøre, om det er en væsentlig hændelse. Fristen på 24 timer for den tidlige varsling løber fra det øjeblik, I får kendskab til den væsentlige hændelse, og vurderingen er det første led.
Styrelsen for Samfundssikkerheds vejledning kræver, at I har eller har adgang til de kompetencer, der kan træffe den vurdering. En audit efterprøver, om de findes, og om de kan nås, når det gælder.
Kravet
Vejledningen om cybersikkerhedsforanstaltninger (1. udgave juni 2025) behandler hændelseshåndtering i afsnit 2.a, der hører under § 6, stk. 1, nr. 2. Som krav skal enheden have, eller gennem aftaler med tredjepart have adgang til, kompetencer, der kan vurdere, om hændelser er væsentlige, og bestemme deres art og alvor.
Kravet kan altså opfyldes på to måder. Kompetencerne kan sidde i huset. De kan også købes gennem en aftale med en ekstern part. Vejledningen foretrækker ingen af dem.
Vejledningen om hændelsesunderretning (juni 2025) siger, at vurderingen skal ske rettidigt efter opdagelse eller et tip fra en tredjepart, fx en kunde, en myndighed eller et medie. Den siger også, at “uden unødigt ophold” betyder, at enheden underretter, så snart den bliver opmærksom på, at hændelsen har karakter af en væsentlig hændelse.
Styrelsens spørgeskema til kommunerne fra maj 2026 spurgte direkte til netop disse kompetencer. Skemaet er stilet til kommuner, men det viser, at emnet er på myndighedens liste.
Hvad kompetencen skal kunne
Kravet nævner tre ting. Kompetencen skal kunne vurdere, om en hændelse er væsentlig efter lovens § 12, stk. 2. Den skal kunne bestemme hændelsens art. Og den skal kunne bestemme, hvor alvorlig den er.
Det er både teknisk og forretningsmæssig viden. En tekniker kan se, hvad der er sket i systemerne. Om det har forårsaget alvorlige driftsforstyrrelser eller betydelig skade på andre, kræver kendskab til tjenesterne og kunderne. Faste tærskler for væsentlighed kan gøre vurderingen lettere for den, der ikke kender hele forretningen.
Vagtordning og svartid er praksis
Kilderne nævner ikke vagtordning eller svartid. Det følgende er praksis, som en auditor afleder af fristen på 24 timer og kravet om rettidig vurdering.
Hændelser følger ikke arbejdstiden. Hvis den person, der kan vurdere en hændelse, kun kan nås på hverdage, kan en hændelse fredag eftermiddag ende med at blive vurderet mandag morgen. Det er svært at forene med fristen, fordi fristen løber fra kendskabet.
En auditor vil derfor spørge, hvordan kompetencen kan nås uden for arbejdstid, hvem der træder til ved ferie og sygdom, og hvor hurtigt den kan være i gang. Ordningen kan være intern, ekstern eller en kombination.
Når kompetencen købes ude
Har I en aftale med en ekstern part, er aftalen beviset. Auditor læser den og ser, om den dækker selve vurderingen af væsentlighed ud over teknisk assistance. Aftalen kan også sige noget om svartid og om, hvem hos jer der må aktivere den.
Ansvaret for underretningen flytter ikke med. Det er altid jeres, også selv om leverandøren hjælper med vurderingen eller underretter på jeres vegne. Se leverandøren underretter på jeres vegne. Opfølgningen på aftalen hører under leverandørstyringen.
Sådan efterprøver en audit kompetencerne
Fremgangsmåden er praksis.
Navne og roller. Auditor beder om en oversigt over, hvem der kan vurdere en hændelse, og hvordan de kontaktes. Står der navne og telefonnumre i hændelsesproceduren, og er de aktuelle?
Aftalen. Bygger kompetencen på en ekstern part, læses aftalen med de spørgsmål, der står ovenfor.
Tidsstemplerne. Auditor lægger tidspunktet for opdagelsen ved siden af tidspunktet for vurderingen i de hændelser, perioden har haft. Fristerne bag står i artiklen om de tre underretningsfrister.
Øvelsen. En prøve en sen aften eller en weekend kan vise, om kompetencen kan nås, når der ikke er virkelige hændelser at se på. Se krisestyring og øvelser som bevis.
Den samlede hændelseshåndtering står i audit af hændelseshåndteringen.
Hvad det kræver, og hvad det koster at lade være
Kravet kræver, at I kan pege på konkrete personer eller en konkret aftale. For en virksomhed med egen sikkerhedsfunktion er det mest et spørgsmål om at skrive vagtordningen ned. For en mindre virksomhed er en aftale med en ekstern part ofte vejen, og så tager det tid at finde en aftale, der dækker vurderingen.
Uden kompetencen bliver hændelser vurderet sent eller af den, der tilfældigvis er på arbejde. Fristen løber imens, og vurderingen kan være svær at forsvare over for tilsynet bagefter.
Det skal I lade være med
- At regne IT-supporten for kompetencen uden at have aftalt det · teknisk hjælp er ikke det samme som en vurdering af væsentlighed.
- At have én person som eneste mulighed · ferie og sygdom stopper ikke fristen.
- At tro, at en ekstern aftale flytter ansvaret · underretningen er altid jeres.
Det skal auditten kunne vise
- ☐ En oversigt over de personer eller den aftale, der kan vurdere hændelser.
- ☐ Kontaktoplysninger og stedfortrædere, også uden for arbejdstid.
- ☐ En ekstern aftale, der dækker vurdering af væsentlighed, art og alvor, hvis kompetencen købes.
- ☐ Tidsstempler for opdagelse og vurdering fra hændelser eller øvelser.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, afsnit 2.a, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Spørgeskema kommunerne 2026, udsagn 2.A.4 og 2.A.5, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Forestil jer, at en kunde ringer en lørdag og fortæller om et brud. Skriv ned, hvem der tager telefonen, og hvem der afgør, om det er væsentligt.
Læs også: Audit af hændelseshåndteringen · Den mindre NIS2-virksomhed
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
