Tilsyn og håndhævelse

Myndighedens tilsyn og den audit, virksomheden selv tager initiativ til, kan se på det samme materiale, men de bygger på hver sin hjemmel og har forskellige følger. Artiklerne her forklarer de redskaber, NIS 2-loven giver tilsynet over for en privat virksomhed, fra anmodningen om dokumentation og kontrollen på stedet til påbud, bøder og de mest indgribende trin. De viser også, hvor en audit kan hjælpe, og siger ligeud, hvor den ikke ændrer noget. Gengivelsen af loven er forenklet.

Hvem fører tilsyn med jer?

Tilsynet ligger hos den myndighed, der er udpeget for jeres sektor. Tabellen viser, hvordan bekendtgørelsen om kompetente myndigheder fordeler private virksomheder. Den er forenklet. Tjek sektorens nøjagtige afgrænsning i bilagene til NIS 2-loven.

• Sundhed, herunder fremstilling af medicinsk udstyr · Sundhedsdatastyrelsen
• Cloud, datacentre, DNS, CDN, tillidstjenester, administrerede tjenester og sikkerhedstjenester, onlinemarkedspladser, søgemaskiner, sociale netværk, domænenavne · Digitaliseringsstyrelsen
• Luft, jernbane, vej, havne, post og kurer · Trafikstyrelsen
• Rederier · Søfartsstyrelsen
• Drikkevand, spildevand og affald (undtagen forbrændingsanlæg) · Miljøstyrelsen
• Affaldsforbrændingsanlæg · Energistyrelsen
• Kemikalier, fremstilling af elektronik, elektrisk udstyr, maskiner og transportmidler, internetudvekslingspunkter · Styrelsen for Samfundssikkerhed
• Fødevarer: engroshandel og industriel produktion · Fødevarestyrelsen
• Rummet og forskning · Uddannelses- og Forskningsstyrelsen

Energi, tele og finans er undtaget fra NIS 2-loven og har egne regler. For tele fører Styrelsen for Samfundssikkerhed tilsyn efter telesektorens lov, og for finans er det Finanstilsynet. Registrering og underretning sker for alle sektorer via virk.dk. Ved usikkerhed om, hvorvidt loven gælder for jer, er registreringen efterprøvet et godt sted at begynde.

Kilde: Bekendtgørelse nr. 620 af 2. juni 2025, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.

Audit og tilsyn

• Audit og tilsyn: samme materiale, forskellig hjemmel, pligt og konsekvens Hvem der sætter i gang, og hvad der kan følge.
• Tilsynet beder om dokumentation: skal en frivillig auditrapport med i svaret? Anmodningens formål og præcisering afgør det.
• Pålagt sikkerhedsaudit ved et kvalificeret uafhængigt organ Hvem der vælger, hvem der betaler, og hvad der sker bagefter.

Besøg og scanning

• Kontrol på stedet uden retskendelse Hvem der tager imod, og hvad der skal kunne vises.
• Scanning udefra: CSIRT’ens proaktive scanning og tilsynets sikkerhedsscanning To myndigheder, to formål.

Håndhævelse

• Varsel om påbud til en privat virksomhed Høringsfristen, hvor det rettede kan dokumenteres.
• Hvad lægges der vægt på ved en bøde? Hensynene i lovbemærkningerne uden løfter om virkning.
• Myndigheden vil offentliggøre jeres hændelse Høringen efter § 16 og kommunikationsplanen.
• Tilsynsperson, offentliggørelse af afgørelsen og midlertidigt ledelsesforbud Optrapningen og det, der standser den.
• Certificerede IKT-produkter efter § 8 En bemyndigelse, som der ikke er fundet regler efter.

Sådan bruger I siden

Læs artiklen om forskellen på audit og tilsyn først. Har I fået en anmodning om dokumentation, så læs artiklen om auditrapporten i svaret, før I sender noget. Er der varslet et påbud eller et besøg, er artiklerne om høringen og kontrollen på stedet de vigtigste, og fristerne bør noteres samme dag, brevet kommer.

Hvad det kræver, og hvad det koster at lade være

Det kræver en navngiven kontaktperson for tilsynet, en bevismappe, der kan findes frem hurtigt, og en ledelse, der kender sin rolle. Er materialet spredt, går høringsfristen med at lede, og de rettelser, I faktisk har gennemført, kan ikke dokumenteres i tide.

Det skal I lade være med

• At love myndigheden, at en audit ændrer en bøde · den står ikke på listen over hensyn.
• At sende mere end anmodningen beder om uden at overveje det · læs formålet først.
• At lade receptionen tage imod et kontrolbesøg uden en plan · udpeg en ansvarlig.

Det skal auditten kunne vise

• ☐ At bevismappen kan udleveres på kort tid.
• ☐ Hvem der er kontaktperson over for tilsynet.
• ☐ Hvad der er rettet siden sidste fund, med dato.
• ☐ At kommunikationsplanen dækker en offentliggørelse.

Senest gennemgået: november 2026.

Næste skridt

• NIS2-audit: grundlag og afgrænsning
• Fund, rapport og opfølgning

Læs også: NIS2-kravene i § 6 · Sektorer og særlige anledninger

→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT