For en digital enhed afgør forordning 2024/2690, hvornår en hændelse er væsentlig. Artikel 3 har generelle kriterier, og artikel 5 til 14 har tærskler for hver type tjeneste, fx 30 minutters fuldstændig utilgængelighed for en administreret tjeneste.
En audit af punktet ser derfor på to ting. Kender I tærsklerne for jeres egne tjenester? Og kan I måle det, tærsklerne bygger på, mens hændelsen står på? Underretningen og fristerne følger fortsat NIS 2-lovens §§ 12 og 13.
De generelle kriterier
Efter artikel 3, stk. 1, er en hændelse væsentlig, hvis et eller flere af disse kriterier er opfyldt:
- Et direkte økonomisk tab over forordningens tærskel (artikel 3, stk. 1, litra a).
- Afsløring af forretningshemmeligheder.
- En fysisk persons død.
- Betydelig skade på en fysisk persons helbred.
- Formodet ondsindet og uautoriseret adgang, der kan forårsage alvorlige driftsforstyrrelser.
- Tilbagevendende hændelser efter artikel 4.
- De typebestemte kriterier i artikel 5 til 14.
Artikel 3, stk. 2, siger, at planlagte driftsafbrydelser og forventede konsekvenser af planlagt vedligeholdelse ikke er væsentlige hændelser. Det forudsætter, at afbrydelsen faktisk var planlagt, og det kan auditor efterprøve i ændringsloggen.
Tilbagevendende hændelser
Artikel 4 samler små hændelser. Hændelser, der hver for sig ikke er væsentlige, regnes samlet som én væsentlig hændelse, hvis de er indtruffet mindst to gange inden for seks måneder, har samme åbenlyse grundlæggende årsag og samlet opfylder kriteriet om økonomisk tab.
Det kræver, at nogen holder øje. Bilagets punkt 3.4.2, litra b, siger, at forekomsten af tilbagevendende hændelser vurderes hvert kvartal. Det er et af få steder, forordningen sætter et fast interval. Hvordan vurderingen auditeres, står i klassifikation og gennemgang efter hændelsen.
De typebestemte tærskler
Artikel 5 til 14 har kriterier for hver type tjeneste. Nogle eksempler:
- En DNS-tjeneste, der er fuldstændig utilgængelig i mere end 30 minutter (artikel 5).
- En cloudcomputingtjeneste, der er fuldstændig utilgængelig i mere end 30 minutter, eller hvor tilgængeligheden er begrænset for mere end 5 % af brugerne i Unionen eller mere end 1 mio. brugere, alt efter hvad der er lavest, i mindst en time (artikel 7).
- En datacentertjeneste, der er fuldstændig utilgængelig, eller hvor den fysiske adgang til datacentret er bragt i fare (artikel 8).
- En administreret tjeneste eller administreret sikkerhedstjeneste, der er fuldstændig utilgængelig i mere end 30 minutter (artikel 10, litra a).
- En tillidstjeneste, der er fuldstændig utilgængelig i mere end 20 minutter (artikel 14, litra a).
Listen her er et udvalg. Hver artikel har flere kriterier, og jeres egen tjenestetype skal læses i sin helhed.
Hvem tæller som bruger
Artikel 3, stk. 3, siger, at kunder med kontrakt og fysiske og juridiske personer med tilknytning til erhvervskunder medregnes, når berørte brugere tælles.
Digitaliseringsstyrelsen kalder det i sin FAQ et relativt omfattende brugerbegreb. Efter styrelsens vurdering skal også brugere uden kontrakt, der i praksis har adgang, medregnes. Hvor en artikel taler om fuldstændig utilgængelighed uden procent eller antal, lægger styrelsen til grund, at én berørt bruger er nok. Det er styrelsens vurdering og ikke lovtekst.
Hvordan utilgængelighed måles
Efter Digitaliseringsstyrelsens FAQ måles utilgængelighed fra det tidspunkt, hvor tjenesten er helt utilgængelig, til driften er genoprettet til det tidligere serviceniveau. Kan starttidspunktet ikke fastslås, måles fra opdagelsen.
Her ligger det meste af audittens arbejde. En tærskel på 30 minutter giver kun mening, hvis I kan se, hvornår tjenesten faldt ud, og hvornår den var tilbage på det normale niveau. Det kræver overvågning med tidsstempler og en klar definition af “det tidligere serviceniveau” for hver tjeneste.
Sådan auditeres punktet
Det følgende er almindelig auditpraksis og ikke forordningens ord.
Auditor beder om jeres oversigt over tjenester og de tærskler, der gælder for hver. Dernæst om proceduren for, hvem der afgør, om en hændelse er væsentlig, og hvordan målingen indgår. Så vælges et par hændelser fra det seneste år som stikprøver. For hver af dem ser auditor på tidsstemplerne, antallet af berørte brugere og beslutningen om at underrette eller lade være.
Er der ingen underretninger på et år med flere længere nedbrud, ser auditor efter begrundelsen. Den kan være god, fx at nedbruddet var planlagt vedligeholdelse efter artikel 3, stk. 2. Men den skal stå skrevet.
Hvordan jeres egne tærskler forholder sig til forordningens, kan læses i artiklen om interne tærskler, og om de kan forsvares. Lovens frister gennemgås i varsling og rapportering i tide.
Hvad det kræver, og hvad det koster at lade være
Det kræver en oversigt over tjenestetyper og deres tærskler, en måling af tilgængelighed med tidsstempler og en procedure for den kvartalsvise vurdering af tilbagevendende hændelser. Driften og den, der beslutter om underretning, skal kende tærsklerne.
Uden målingen ved I ikke, om en hændelse var væsentlig, og så ved I heller ikke, om I skulle have underrettet. En manglende underretning kan ikke rettes bagefter.
Det skal I lade være med
- At bruge lovens almindelige vejledning om væsentlighed · for digitale enheder afgør forordningen det.
- At tælle kun kunder med kontrakt · styrelsen lægger et bredere brugerbegreb til grund.
- At springe den kvartalsvise vurdering over · små hændelser kan samlet blive væsentlige.
Det skal auditten kunne vise
- ☐ En oversigt over jeres tjenestetyper og de tærskler i artikel 5 til 14, der gælder for dem.
- ☐ Overvågning med tidsstempler for udfald og genopretning.
- ☐ En definition af normalt serviceniveau pr. tjeneste.
- ☐ Dokumentation af den kvartalsvise vurdering efter punkt 3.4.2, litra b.
- ☐ En begrundelse for hver hændelse, der blev vurderet ikke at være væsentlig.
Kilder
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 3 til 14 og bilaget punkt 3.4, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
- Digitaliseringsstyrelsen, FAQ om NIS 2, https://digst.dk/tilsyn/nis-2/faq-om-nis-2/, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 12 og 13, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den seneste længere driftsforstyrrelse, og regn efter, om den ramte en af tærsklerne for jeres tjenestetype.
Læs også: Logning efter punkt 3.2 · Hvem kan afgøre, om hændelsen er væsentlig?
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
