En underretning om en væsentlig hændelse skrives under tidspres og til en myndighed. Det er let at glemme, at andre end myndigheden kan komme til at læse den. Ifølge Styrelsen for Samfundssikkerheds vejledning er de obligatoriske underretninger ikke undtaget fra aktindsigt.
Denne artikel handler om, hvad det betyder for den måde, I skriver og kontrollerer underretningerne på. Den siger intet om, hvilke oplysninger der kan holdes tilbage ved en anmodning om aktindsigt. Det er et juridisk spørgsmål.
Hvad loven siger, og hvad vejledningen siger
Loven og vejledningen siger forskellige ting, og forskellen er vigtig.
NIS 2-loven undtager de frivillige underretninger. Efter § 14, stk. 3, gælder hverken offentlighedslovens regler om aktindsigt eller forvaltningslovens regler om partsaktindsigt for underretninger efter § 14, stk. 1. Det gælder de underretninger, I sender frivilligt om fx nærvedhændelser og cybertrusler. Se frivillig underretning.
Om de obligatoriske underretninger efter § 12 siger loven ikke noget tilsvarende. Det er vejledningen om hændelsesunderretning (1. udgave juni 2025), der skriver det udtrykkeligt. Ifølge vejledningen er de pligtige underretninger altså omfattet af reglerne om aktindsigt i offentlighedsloven og om partsaktindsigt i forvaltningsloven. De sektoransvarlige myndigheder kan dog efter en konkret vurdering undtage konkrete oplysninger, hvis betingelserne i offentlighedsloven er opfyldt.
Vejledningen henviser til Justitsministeriets vejledning om offentlighedsloven. Hvilke oplysninger der kan undtages, står ikke i denne artikel, og det skal ikke læses ud af den.
Vejledningen citerer også lovbemærkningerne til § 14. Af dem fremgår, at en virksomheds ret til at se oplysninger om sig selv ligger uden for undtagelsen.
Hvad det betyder for teksten
Det følgende er praksis.
Loven fastlægger i § 13, hvad hvert trin skal indeholde, og bilag 2 i vejledningen lister oplysningerne i detaljer, fx tidslinje, type og årsag, berørte brugere, varighed og involverede leverandører. Hensynet til aktindsigt er ingen grund til at udelade dem. Underretningspligten går forud.
Det, I kan styre, er formen. Nogle principper kan hjælpe:
Skriv fakta. Beskriv, hvad der skete, og hvad I ved. Gisninger om skyld, personlige vurderinger af kolleger eller leverandører og spekulationer om årsager, der ikke er undersøgt, hører ikke hjemme i en underretning.
Skriv præcist om usikkerhed. Ved den tidlige varsling ved I lidt. Skriv, hvad der er bekræftet, og hvad der stadig undersøges. Det er mere nyttigt for myndigheden og tåler bedre at blive læst bagefter.
Skriv kun de personoplysninger, der er nødvendige. Navne på medarbejdere eller kunder er sjældent nødvendige for at forstå hændelsen.
Markér det, I mener er følsomt. Er der oplysninger, I mener kan skade jer eller andre, hvis de bliver kendt, kan I gøre myndigheden opmærksom på det, når I sender. Om de kan undtages, afgør myndigheden efter en konkret vurdering.
Giv den endelige rapport ekstra tid. Ifølge bilag 2 rummer den endelige rapport bl.a. berørte tjenester, konsekvensen for omdømmet, foranstaltninger før, under og efter hændelsen og jeres erfaringer. Det er den længste tekst, og den skrives med afstand til hændelsen. Afsnittet om erfaringer er der, hvor formuleringerne betyder mest, fordi det beskriver, hvad der ikke virkede.
Sådan efterprøver en audit underretningerne
Fremgangsmåden er praksis.
Proceduren. Auditor ser, om hændelsesproceduren nævner, at obligatoriske underretninger kan blive genstand for aktindsigt, og om den siger, hvem der læser teksten igennem, før den sendes.
Skabelonerne. Har I skabeloner til de tre trin, kan auditor se, om de lægger op til fakta frem for vurderinger. Skabelonerne hænger sammen med 24 timer, 72 timer og en måned.
De indsendte underretninger. Har der været hændelser i perioden, kan auditor læse de indsendte underretninger og vurdere dem efter principperne ovenfor. Det sker med respekt for, at teksterne er skrevet under pres.
Leverandøren. Underretter en leverandør på jeres vegne, ser auditor, om aftalen giver jer mulighed for at se teksten. Se leverandøren underretter på jeres vegne.
Underretningen kan også blive brugt i andre sammenhænge, fx hvis myndigheden overvejer at gøre hændelsen offentligt kendt. Det er beskrevet i offentliggørelse af hændelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en linje i hændelsesproceduren, skabeloner, der lægger op til fakta, og en fast person, der læser teksten, før den sendes. Det er et lille arbejde, og det kan øves i samme omgang som resten af underretningen.
Uden det risikerer I, at en underretning skrevet i hast bliver læst af en journalist, en kunde eller en modpart i en tvist. En upræcis tekst kan så fortælle en anden historie end den, I ville have fortalt.
Det skal I lade være med
- At udelade pligtige oplysninger af frygt for aktindsigt · underretningspligten går forud.
- At tro, at lovens undtagelse gælder de obligatoriske underretninger · den gælder de frivillige efter § 14.
- At bruge auditten som juridisk vurdering af en anmodning · det kræver en jurist.
Det skal auditten kunne vise
- ☐ En hændelsesprocedure, der nævner aktindsigt og angiver, hvem der gennemlæser.
- ☐ Skabeloner til de tre trin, der lægger op til fakta.
- ☐ Indsendte underretninger fra perioden med dato og afsender.
- ☐ Aftalepunkt om gennemlæsning, hvis en leverandør underretter for jer.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 14, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Hændelsesunderretning, 1. udgave juni 2025, kapitel 4 og 7 og bilag 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs jeres seneste underretning eller skabelon, og forestil jer, at en kunde læser den. Ret det, I ikke ville have skrevet til kunden.
Læs også: Underretning af kunderne efter § 15 · Hvem må få auditrapporten?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
