Før myndigheden træffer afgørelse om et påbud eller en anden håndhævelsesforanstaltning efter NIS 2-loven, skal den underrette jer om, hvad den påtænker, og hvorfor. I får en rimelig frist til at komme med bemærkninger, og det er i den frist, I kan vise, hvad der allerede er rettet.
Et varsel er et alvorligt brev, men det er endnu ikke en afgørelse. Artiklen gennemgår, hvad loven siger om høringen, hvilke trin myndigheden kan vælge imellem, og hvordan en dateret gennemgang kan bære jeres svar.
Hvad § 26 siger
Bestemmelsen er kort. Inden myndigheden træffer afgørelse om håndhævelse efter §§ 22, 23 eller 25, underrettes enheden om de påtænkte foranstaltninger og begrundelsen. Myndigheden skal give en rimelig frist til bemærkninger. Undtagelsen er tilfælde, hvor formålet med foranstaltningen ellers ville forspildes.
Fristen står ikke i loven som et antal dage. Den fremgår af varslet. Notér den samme dag, som brevet kommer, og find ud af, hvem der skal godkende jeres svar.
Trinnene, myndigheden kan vælge imellem
Over for en væsentlig enhed nævner § 22 otte foranstaltninger: advarsler, bindende instrukser med frister, påbud om at forhindre eller afhjælpe en hændelse, påbud og forbud for at sikre overholdelse, påbud om at underrette modtagere om en væsentlig cybertrussel, påbud om at gennemføre anbefalinger fra en sikkerhedsaudit, udpegning af en tilsynsperson og påbud om at offentliggøre afgørelser. Over for en vigtig enhed står seks af dem i § 25, uden tilsynspersonen og uden de midlertidige foranstaltninger i § 23.
Lovbemærkningerne beskriver advarslen som den mildeste form og et påbud om at afhjælpe en hændelse som mere indgribende end en bindende instruks. Som eksempler på påbud for at sikre overholdelse nævner de bl.a. krav til rolle- og ansvarsfordeling, herunder forbud mod ansvarssammenfald, procedurer for erhvervelse og udvikling, sikkerhedskopiering og logningsmetoder. De sidste trin er beskrevet i tilsynsperson og ledelsesforbud.
Proportionalitet og forvaltningsloven
Ifølge bemærkningerne skal myndigheden ved valget af foranstaltning foretage en konkret vurdering efter proportionalitetsprincippet. Et påbud er en forvaltningsretlig afgørelse med forvaltningslovens regler om partshøring, begrundelse og klagevejledning. Der fastsættes en frist, og afgørelsen kan indbringes for domstolene.
Det betyder, at jeres bemærkninger har en funktion. De indgår i det grundlag, myndigheden træffer afgørelse på. Hvordan bemærkningerne vægtes, kan vi ikke sige noget om, og der er ingen garanti for, at de ændrer udfaldet.
Auditten, der dokumenterer svaret
Det følgende er praksis og ikke et lovkrav. Et svar, der bare siger “vi er i gang”, giver myndigheden lidt at arbejde med. Et svar med en dateret gennemgang af netop de punkter, varslet nævner, giver mere.
Gennemgangen afgrænses stramt. Den tager varslets punkter ét ad gangen og spørger tre ting. Hvad var manglen? Hvad er gjort siden, og hvornår? Og hvilket bevis viser det: en godkendt procedure, et udtræk, en logfil, et referat? Kravene til beviset er beskrevet i hvad tæller som bevis, og hvornår et fund er lukket, er beskrevet i opfølgningsaudit og lukkebevis.
Gennemgangen bør laves af en, der ikke selv har udført rettelserne. Ellers bliver svaret en egenerklæring med bilag.
Det, der endnu ikke er rettet
Ikke alt kan rettes inden for en høringsfrist. For de punkter, der står åbne, er en plan med ejer, rækkefølge og dato det mest konkrete, I kan give. Ledelsesorganet bør have godkendt planen, så det fremgår, at den har opbakning. Se fra fund til handlingsplan.
Den offentlige sektor har sine egne forhold ved tilsyn og håndhævelse, som er beskrevet på siden om audit i kommuner, regioner og stat. Denne artikel handler om den private virksomhed.
Hvem skriver svaret?
Det følgende er praksis. Svaret samles af den sikkerhedsansvarlige eller den compliance-ansvarlige, men det er ledelsen, der står bag det over for myndigheden. Lad derfor en person i direktionen læse og godkende svaret, og notér godkendelsen med dato. Spørgsmål om retsstilling, fx om fristens længde eller om et punkt er rigtigt forstået, hører hjemme hos en advokat. En auditor kan efterprøve beviset, men rådgiver ikke om jura.
Hvad det kræver, og hvad det koster at lade være
Et svar inden for fristen kræver, at nogen kan samle bevis hurtigt. Det går lettere, hvis I i forvejen har en bevismappe og en ajourført handlingsplan. Jo færre punkter varslet nævner, jo snævrere kan gennemgangen afgrænses.
Uden svar træffer myndigheden afgørelse på det grundlag, den har. Det kan være et påbud med frist, og at undlade at efterkomme et påbud efter § 22 eller § 25 straffes med bøde efter § 32.
Det skal I lade være med
- At lade fristen løbe ud, fordi rettelserne ikke er færdige · send det, I har, og planen for resten.
- At svare med påstande uden bevis · et udtræk eller referat siger mere end en forsikring.
- At lade den, der rettede manglen, bekræfte rettelsen alene · svaret mister vægt.
Det skal auditten kunne vise
- ☐ Varslet med dato, frist og de påtænkte foranstaltninger.
- ☐ For hvert punkt i varslet: manglen, det gjorte, datoen og beviset.
- ☐ En godkendt plan for de punkter, der står åbne.
- ☐ Hvem der har godkendt svaret, og hvornår det er sendt.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 22, 23, 25, 26 og 32, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 22, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Pålagt sikkerhedsaudit · Handlingsplanen er gået i stå
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
