En virksomhed under NIS 2-loven behandler næsten altid også personoplysninger, og så gælder databeskyttelsesforordningens artikel 32 om sikkerhed ved siden af. De to regelsæt kan dækkes i samme audit, hvor fælles kontroller gennemgås én gang og afrapporteres til to formål, men risikovurderingen bør have to perspektiver, fordi de to regelsæt måler forskellige skader.
Sammenligningen nedenfor er en tolkning af lovteksterne. Datatilsynets vejledninger er ikke gennemgået, og artiklen er ikke juridisk rådgivning om GDPR.
Hvad artikel 32 kræver
Artikel 32, stk. 1 i forordning (EU) 2016/679 kræver, at den dataansvarlige og databehandleren gennemfører passende tekniske og organisatoriske foranstaltninger. Vurderingen skal tage hensyn til det aktuelle tekniske niveau, omkostningerne ved at gennemføre dem, behandlingens karakter, omfang, sammenhæng og formål og risiciene for fysiske personers rettigheder og frihedsrettigheder.
Bestemmelsen giver fire eksempler, som bruges, hvor de er relevante. Det første er kryptering og pseudonymisering. Det andet er, at systemer og tjenester bliver ved med at være fortrolige, hele, tilgængelige og robuste. Det tredje er evnen til hurtigt at få adgang til data igen efter en fysisk eller teknisk hændelse. Det fjerde er en fast procedure, der jævnligt afprøver og evaluerer, om foranstaltningerne virker.
Hvor de to regelsæt mødes
Holdt op mod NIS 2-lovens § 6, stk. 1 er der tre tydelige berøringspunkter. Artikel 32’s kryptering svarer til nr. 8 om kryptografi, som gennemgås i audit af kryptering. Genopretningen svarer til nr. 3 om driftskontinuitet og backup, se audit af backup og gendannelse. Og proceduren for regelmæssig evaluering svarer til nr. 6, effektivitetsvurderingen. At de svarer til hinanden, er en sammenligning, som ingen af teksterne selv laver.
Styrelsen for Samfundssikkerhed peger selv på sammenhængen. Vejledningen om foranstaltningerne siger, at informationssikkerhedspolitikken bør indeholde en forpligtelse til at opfylde lovkrav som GDPR.
I praksis betyder det, at en backuptest, en gennemgang af krypteringspolitikken eller en effektivitetsvurdering kan bruges som bevis begge steder. Auditor kontrollerer den én gang og noterer, hvilke krav den dækker. Kravet om regelmæssig evaluering i GDPR har sin egen artikel, gennemgået for virksomheder uden NIS2.
Hvor de skilles
Forskellen ligger i, hvad der beskyttes. Artikel 32 handler om risici for de personer, hvis oplysninger I behandler. § 6 handler om risici for sikkerheden i jeres net- og informationssystemer og for dem, der bruger jeres tjenester. Vejledningen om foranstaltningerne lægger vægt på de samfundsmæssige skader frem for virksomhedens egen risikoappetit.
Den samme hændelse kan derfor vurderes forskelligt. Et nedbrud i et produktionssystem uden personoplysninger kan være alvorligt efter NIS2 uden at berøre nogen persons oplysninger. Et læk af en kundeliste kan være alvorligt for de berørte personer, uden at tjenesten er påvirket.
Auditten bør derfor kontrollere, at risikovurderingen har begge perspektiver, enten i ét dokument med to vurderinger eller i to dokumenter, der henviser til hinanden. En fælles risikoliste, der kun bedømmer konsekvensen for virksomheden, dækker ingen af dem.
To underretninger, samme hændelse
Ved en hændelse kan begge regelsæt udløse en melding. Efter GDPR’s artikel 33 skal den dataansvarlige anmelde bruddet til Datatilsynet uden unødig forsinkelse og så vidt muligt inden for 72 timer fra kendskabet. NIS 2-lovens § 13 har to frister i samme periode, et døgn til varslingen og tre døgn til underretningen.
Kommissionens forslag til en Digital Omnibus (COM(2025) 837) vil bl.a. ændre fristen for anmeldelse af brud til 96 timer og kun kræve anmeldelse ved høj risiko. Rådet vedtog sit forhandlingsmandat 21. oktober 2026. Det bakker op om en længere frist for anmeldelse af brud. I stedet for ét fælles indgangspunkt i EU vil Rådet have et nationalt indgangspunkt for indberetning af hændelser i hvert medlemsland. Forhandlingerne med Europa-Parlamentet begynder først, når Parlamentet har sin egen holdning. Alt dette er forslag, ikke vedtaget pr. 13. november 2026, så artikel 33’s 72 timer gælder fortsat.
Vejledningen om hændelsesunderretning oplyser, at man ved indberetningen på virk.dk kan krydse af for, at Datatilsynet underrettes om brud på persondatasikkerheden i samme underretning. Auditten kan kontrollere, at proceduren for hændelser kender begge veje, og at den, der vurderer en hændelse, også spørger, om der er personoplysninger involveret.
Rapporten til to modtagere
En fælles audit kan munde ud i én rapport med to sæt konklusioner: én til ledelsesorganet om NIS 2-kravene og én til den, der har ansvaret for databeskyttelse. Fundene kan være de samme, men vurderingen af alvoren kan være forskellig, fordi skaderne er forskellige.
Har I databehandlere, kommer tilsynet med dem ind som et særskilt punkt. Det er et emne for kunden over for sine leverandører.
Hvad det kræver, og hvad det koster at lade være
En samlet audit kræver, at kriterierne fra begge regelsæt står i opdraget, og at både den sikkerhedsansvarlige og den, der har ansvaret for databeskyttelse, deltager. Bevismappen bør angive, hvilke krav hvert dokument understøtter.
To separate gennemgange giver dobbelt arbejde for de samme folk og to rapporter om de samme kontroller. En samlet audit uden adskilte risikovurderinger giver det modsatte problem: en konklusion, der ser ud til at dække begge regelsæt, men som har vurderet skaden ud fra den ene.
Det skal I lade være med
- At bruge én risikovurdering til begge formål uden to perspektiver · de måler forskellige skader.
- At glemme Datatilsynet i hændelsesproceduren · underretningen kan ske i samme indberetning.
- At læse sammenligningen som juridisk rådgivning · overlappet er en tolkning.
Det skal auditten kunne vise
- ☐ Kriterier fra både § 6 og artikel 32 i opdraget.
- ☐ Fælles kontroller markeret med de krav, de dækker.
- ☐ En risikovurdering med både samfundsmæssige skader og risici for personer.
- ☐ En hændelsesprocedure, der omfatter både § 13 og artikel 33.
Kilder
- Europa-Kommissionen, forslag COM(2025) 837 af 19. november 2025 (Digital Omnibus), https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52025PC0837, læst 12. november 2026.
- Rådet for Den Europæiske Union, pressemeddelelse af 21. oktober 2026 om Rådets forhandlingsmandat til Digital Omnibus (opdateret 22. oktober 2026), https://www.consilium.europa.eu/en/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/, læst 13. november 2026.
- Forordning (EU) 2016/679 (databeskyttelsesforordningen), læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg jeres NIS2-risikovurdering og jeres GDPR-risikovurdering ved siden af hinanden, og se efter, om de bruger samme systemliste.
Læs også: Kan I nå 24 timer, 72 timer og en måned? · Audit af backup og gendannelse
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
