Efter NIS 2-lovens § 16 kan myndigheden informere offentligheden om en væsentlig hændelse hos jer, når den har hørt jer først. Den kan også træffe afgørelse om, at I selv skal informere, og bestemme hvordan.
Det stiller krav til den del af beredskabet, der handler om at kommunikere. En høring kommer midt i en hændelse, og svaret skal skrives af nogen, der allerede har travlt. Derfor hører kommunikationsplanen med i en audit.
Hvad § 16 siger
Forenklet gengivet har bestemmelsen fire stykker:
- Stk. 1. Myndigheden kan efter høring af en enhed, der er ramt af en væsentlig hændelse, informere offentligheden, hvis det er nødvendigt for at forebygge videre udbredelse eller håndtere hændelsen, eller hvis det på anden vis er i offentlighedens interesse.
- Stk. 2. Myndigheden kan træffe afgørelse om, at enheden selv informerer offentligheden, og bestemme hvordan.
- Stk. 3 og 4. CSIRT’en kan informere om hændelser, der kan påvirke mere end én sektor, og om hændelser i andre medlemsstater.
Den, der ikke følger en afgørelse efter stk. 2, kan efter § 32, stk. 1, nr. 4, få en bøde.
Høringen ifølge bemærkningerne
Bemærkningerne forklarer, at høringen skal sikre et oplyst grundlag og en afvejning af jeres hensyn over for offentlighedens. Myndigheden bestemmer formen. Der skal tages hensyn til fortrolighed efter forvaltningslovens § 27, bl.a. forretningshemmeligheder. Som udgangspunkt er det den kompetente myndighed og ikke CSIRT’en, der offentliggør, og der forudsættes tæt koordination.
Høringen er altså jeres mulighed for at gøre opmærksom på, hvad der ikke bør nævnes, og hvorfor. Det kræver, at nogen hurtigt kan sige, hvilke oplysninger der er forretningshemmeligheder, og hvilke der kan skade efterforskning eller sikkerhed, hvis de kommer ud.
En anden pligt: kunderne
§ 15 er en særskilt pligt og må ikke blandes sammen med § 16. Den siger, at væsentlige og vigtige enheder uden unødigt ophold underretter modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen negativt. Ved en væsentlig cybertrussel skal I oplyse om modforholdsregler. Kontaktlister og tekster til den underretning er gennemgået i underretning af kunderne.
Kunderne kan altså høre om hændelsen fra jer efter § 15, før offentligheden hører om den fra myndigheden efter § 16. De to budskaber bør hænge sammen.
Kommunikationsplanen som auditpunkt
For digitale enheder under forordning 2024/2690 er kommunikationsplaner et udtrykkeligt krav (bilag punkt 3.5.3 og 4.3.2). For andre enheder er kommunikation en del af hændelseshåndtering og kontinuitet i § 6, stk. 1, nr. 2 og 3. Den kobling er vores tolkning.
En auditor kan se på planen med disse spørgsmål:
- Hvem skriver et svar til en høring efter § 16, og hvem godkender det?
- Er der en liste over oplysninger, der som udgangspunkt er fortrolige, fx systemnavne, sårbarheder og kunders identitet?
- Hvordan koordineres tekster til kunder, medarbejdere, presse og myndighed, så de ikke modsiger hinanden?
- Hvordan kommunikeres der, hvis mail og telefoni er nede? Se nødkommunikation.
- Hvem udarbejder en offentliggørelse, hvis myndigheden træffer afgørelse om, at I selv skal informere?
Bevis kan være en godkendt plan, skabeloner, en kontaktliste og referat fra en øvelse, hvor en høring er spillet igennem. Hvad der tæller som bevis for en øvelse, står i øvelser som bevis.
Tekster, der tåler at blive læst
Underretninger til myndigheden er ikke undtaget fra aktindsigt, som beskrevet i underretninger og aktindsigt. Det samme hensyn gælder her. Skriv underretninger og høringssvar, så de er præcise og kan læses af andre end den, de er sendt til.
Når myndigheden selv vil informere
Efter § 16, stk. 1, er det myndigheden, der beslutter at informere. Høringen giver jer mulighed for at blive hørt, og afgørelsen er myndighedens. Det er vores læsning af bestemmelsen. Planen bør derfor også dække det tilfælde, hvor myndighedens tekst kommer ud: hvem orienterer medarbejdere og kunder, og hvem svarer på henvendelser fra pressen? Et fælles faktaark, der kan opdateres i løbet af hændelsen, gør det lettere at holde svarene ens.
Hvad det kræver, og hvad det koster at lade være
En kommunikationsdel i beredskabsplanen kræver nogle dages arbejde for at skrive roller, skabeloner og en liste over fortrolige oplysninger, og en øvelse om året for at holde den i live.
Uden planen skrives høringssvaret under tidspres af den, der tilfældigvis er til stede. Det øger risikoen for, at fortrolige oplysninger kommer med, eller at budskabet til kunderne og offentligheden ikke passer sammen.
Det skal I lade være med
- At blande § 15 og § 16 sammen · den ene er jeres pligt over for kunderne, den anden myndighedens beføjelse.
- At lade høringen gå til den, der har travlest med hændelsen · udpeg på forhånd, hvem der svarer.
- At skrive tekster, der kun holder internt · underretninger kan blive læst af andre.
Det skal auditten kunne vise
- ☐ En kommunikationsplan med roller for høring, kunder, medarbejdere og presse.
- ☐ En liste over oplysninger, der som udgangspunkt er fortrolige.
- ☐ Skabeloner til underretning efter § 15 og til svar på en høring efter § 16.
- ☐ Referat fra en øvelse, hvor kommunikationsdelen er afprøvet.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6, 15, 16 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 16, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, bilag punkt 3.5.3 og 4.3.2, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Audit af beredskabsplanen · Tilsynsperson og ledelsesforbud
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
