Rammer en væsentlig hændelse jeres tjenester, er det ikke nok at underrette myndigheden. § 15 i NIS 2-loven kræver også, at I uden unødigt ophold giver dem, der modtager jeres tjenester, besked, når hændelsen sandsynligvis vil påvirke leveringen negativt.
Pligten står i sin egen paragraf, og overtrædelse kan straffes med bøde. Alligevel er den sjældent beskrevet lige så grundigt som underretningen af myndigheden. Denne artikel viser, hvad en audit kan efterprøve.
Hvad § 15 siger
Stk. 1 handler om hændelser. Rammer en væsentlig hændelse sandsynligvis jeres levering negativt, skal de, der modtager tjenesten, have besked uden unødigt ophold.
Stk. 2 handler om trusler. Modtagere, der potentielt er berørt af en væsentlig cybertrussel, oplyses uden unødigt ophold om foranstaltninger eller modforholdsregler, de selv kan træffe. Hvor det er relevant, informeres de også om selve truslen.
Bryder I § 15, kan det give bøde (§ 32, stk. 1, nr. 1). Tilsynsmyndigheden for jeres sektor, som loven kalder den kompetente myndighed, kan også give jer påbud om at underrette berørte om en væsentlig cybertrussel (§ 22, nr. 5, og § 25, nr. 4). Følger I ikke påbuddet, er det også strafbart (§ 32, stk. 1, nr. 3).
Det, kilderne ikke siger
Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning dækker §§ 12 til 14 og udfolder ikke § 15. Vejledningen om cybersikkerhedsforanstaltninger gør det heller ikke. Der er derfor ingen myndighedstekst om, hvordan kontaktlister, tekster eller beslutningsgangen bør se ud.
Alt, hvad denne artikel siger om arbejdsgangen, er derfor praksis og tolkning. Lovteksten er grundlaget. Resten er det, en auditor kan bruge til at bedømme, om I er i stand til at efterleve den.
Tre ting, en arbejdsgang efter § 15 typisk rummer
Hvem der er modtagere. Lovens ord er modtagerne af jeres tjenester. For nogle virksomheder er det en håndfuld erhvervskunder med faste kontaktpersoner. For andre er det mange private brugere, som kun kan nås gennem en hjemmeside, en app eller en massemail. Kontaktlisten afhænger af, hvem I leverer til.
Hvad der skal stå. Ved en hændelse handler beskeden om påvirkningen af tjenesten. Ved en trussel handler den efter stk. 2 om de modforholdsregler, kunden selv kan træffe. En forberedt tekst pr. situation sparer tid, når det haster, og mindsker risikoen for, at beskeden lover mere, end I ved.
Hvem der beslutter at sende. Det er en beslutning med både juridisk, kommerciel og teknisk side. Det er derfor en fordel, at arbejdsgangen siger, hvem der har kompetencen, og hvem der træder til, hvis den person ikke kan nås.
Sådan efterprøver en audit arbejdsgangen
Auditor kan følge samme fremgangsmåde som ved hændelseshåndteringen i øvrigt.
Først dokumenterne. Findes der en beskrivelse af, hvornår kunderne underrettes, og hvem der beslutter? Er den godkendt og knyttet til hændelsesproceduren, så den ikke ligger løst ved siden af?
Dernæst kontaktlisten. Auditor kan tage en stikprøve blandt kunderne og se, om kontaktoplysningerne er opdaterede, og hvem der har ansvaret for at holde dem det. En liste, der sidst blev opdateret ved kontraktindgåelsen, er et svagt grundlag.
Så teksterne. Findes der skabeloner for både hændelse og trussel, og er de skrevet, så en kunde kan handle på dem?
Til sidst forløbet. Har der i perioden været væsentlige hændelser, kan auditor sammenholde tidspunktet for underretningen af myndigheden med tidspunktet for beskeden til kunderne. Mangler der virkelige forløb at følge, kan en øvelse med et tænkt scenarie vise, om beslutningen kan træffes, og beskeden kan sendes.
Samspil med de andre underretninger
En væsentlig hændelse kan udløse flere beskeder på samme tid. Myndigheden og CSIRT’en skal have deres efter §§ 12 og 13 med fristerne på 24 timer, 72 timer og en måned. Indberetningen på virk.dk har et felt, hvor I kan krydse af for samtidig underretning af Datatilsynet om brud på persondatasikkerheden.
Beskeden til kunderne har ingen fast timefrist i § 15, kun kravet om uden unødigt ophold. Det giver mening, at den stemmer med det, myndigheden får at vide. Det er praksis at lade samme person eller gruppe godkende begge, så teksterne ikke modsiger hinanden.
Kan myndigheden ende med at offentliggøre hændelsen, hænger beskeden til kunderne også sammen med kommunikationen ved offentliggørelse.
Hvad det kræver, og hvad det koster at lade være
En arbejdsgang efter § 15 kræver en ejer i kundeorganisationen, en kontaktliste med en ansvarlig og to eller tre tekstskabeloner. For de fleste er det et lille stykke arbejde, når hændelsesproceduren først findes. Det tunge er at holde kontaktlisten opdateret.
Uden arbejdsgangen bliver kunderne underrettet sent, uens eller slet ikke. Pligten er strafbelagt, og kunderne opdager ofte selv, at noget er galt, før de hører fra jer.
Det skal I lade være med
- At tro, at underretningen af myndigheden dækker kunderne · § 15 er en selvstændig pligt.
- At skrive teksten første gang under hændelsen · tidspresset gør beskeden upræcis.
- At lade kontaktlisten ligge hos salg uden ejer · den forælder, før den skal bruges.
Det skal auditten kunne vise
- ☐ En godkendt beskrivelse af, hvornår og hvordan kunderne underrettes efter § 15.
- ☐ Navngivne roller for beslutningen om at sende, med stedfortræder.
- ☐ En kontaktliste med dato for seneste opdatering og en ansvarlig.
- ☐ Tekstskabeloner for både hændelse og cybertrussel.
- ☐ Tidsstempler fra hændelser eller øvelser, der viser forløbet fra beslutning til besked.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 15, 22, 25 og 32, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvem der i dag ville trykke send på en besked til alle kunder, og om den person ved det.
Læs også: Jeres egne tærskler for en væsentlig hændelse · Leverandøren underretter på jeres vegne
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
