Governance-teams har brugt de seneste to år på at fordøje, hvad NIS2 reelt ændrer. For mange er det ærlige svar stadig "vi er ikke helt sikre". Den usikkerhed er helt rimelig. NIS2 opdaterede ikke bare en tjekliste. Det ændrede grundlæggende, hvem der er ansvarlig, hvor hurtigt hændelser skal rapporteres, og hvor langt ned i leverandørkæden en organisation skal se. At få et klart, struktureret billede af kravene er det første reelle skridt mod at lukke det hul.

Hvad er kravene i NIS2-direktivet?

NIS2, formelt direktiv (EU) 2022/2555, er EU's cybersikkerhedsdirektiv for væsentlige og vigtige enheder. Det kræver, at omfattede organisationer håndterer cybersikkerhedsrisici med ansvar på bestyrelsesniveau, og at de kan bevise det, ikke blot dokumentere det.

For at få det fulde billede af, hvad NIS2 er, hvem der har oprettet det, og hvorfor, se Hvad er NIS2?. Denne artikel holder fokus på, hvad compliance reelt kræver i praksis.

De 4 centrale compliance-områder i NIS2-kravene

1. Ledelsesansvar og governance

Den øverste ledelse skal godkende organisationens foranstaltninger vedrørende cybersikkerhedsrisici. De skal aktivt føre tilsyn med, hvordan disse foranstaltninger udføres, og selv gennemføre obligatorisk cybersikkerhedstræning. Der er ikke mulighed for delegation. NIS2 gør cybersikkerhed til et ansvar på bestyrelsesniveau, ikke noget der forbliver i IT.

2. Risikostyringsforanstaltninger

Artikel 21 opstiller mindst ti grundlæggende foranstaltninger, som organisationer skal implementere. Disse dækker områder som risikoanalyse, kryptering, adgangsstyring, multifaktorautentificering og procedurer for hændelseshåndtering. Dette er ikke abstrakte principper. Revisorer forventer at se dem i praktisk drift, ikke kun i dokumentationen.

3. Tidsfrister for hændelsesrapportering

Væsentlige hændelser udløser en streng, trinvis tidsplan: en tidlig advarsel inden for 24 timer, en fuldstændig hændelsesmeddelelse inden for 72 timer og en endelig rapport inden for en måned efter denne meddelelse. Fristen på 24 timer er ubønhørlig. De teams, der ikke har øvet processen inden en reel hændelse, er dem, der har størst risiko for at overskride fristen.

4. Sikkerhed i forsyningskæden

Organisationer skal vurdere og løbende overvåge cybersikkerhedsniveauet hos deres direkte leverandører og tjenesteudbydere. Et svagt led i en leverandørs sikkerhed udgør en risiko for organisationen i det øjeblik, leverandøren får adgang til dens systemer eller data.

NIS2-tjeklisten for compliance

NIS2 lader ikke det grundlæggende være op til gætterier. Artikel 21, stk. 2, opstiller ti grundlæggende foranstaltninger, som enhver omfattet organisation skal have. Her er, hvad I reelt skal tjekke for hver enkelt.

Hvem skal overholde kravene til NIS2?

NIS2 opdeler organisationer i to kategorier, baseret på sektor og størrelse.

Væsentlige enheder er store organisationer med 250+ medarbejdere eller over 50 millioner euro i årlig omsætning inden for de 11 sektorer, som direktivet anser for at være af højeste kritikalitet. Disse sektorer er energi, transport, bankvæsen, finansiel markedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, styring af IKT-tjenester, offentlig administration og rummet..

Vigtige enheder er mellemstore organisationer med 50+ medarbejdere eller over 10 millioner euro i årlig omsætning i de samme sektorer. Det omfatter også mellemstore og store organisationer i syv yderligere sektorer: post- og kurertjenester, affaldshåndtering, kemikalier, fødevareproduktion og -distribution, fremstillingsvirksomhed, digitale udbydere og forskning.

Omkring 160.000 organisationer i EU falder ind under en af disse to kategorier, viser Europa-Kommissionens eget skøn fra november 2025. Det er en opjustering i forhold til det oprindelige skøn fra 2020 på 110.000, efter direktivet reelt blev implementeret.

Et mindre antal organisationer, herunder kvalificerede tillidstjenesteudbydere, DNS-udbydere og topdomæneregistre, regnes som væsentlige uanset størrelse.

Effektivisering af NIS2-compliance med Formalize

De fleste organisationer starter NIS2-arbejdet på samme måde: et regneark, en delt mappe og en snigende fornemmelse af, at noget bliver overset. Den fremgangsmåde bryder hurtigt sammen. Den kan ikke håndhæve, hvem der ejer en kontrol. Den kan ikke minde nogen om, at en gennemgang er overskredet. Den kan ikke levere dokumentation på anmodning, når en revisor spørger.

Formalizes NIS2-compliancesoftware erstatter den fragmenterede løsning med et struktureret system opbygget omkring de samme fire compliance-områder som beskrevet ovenfor. Godkendelsesworkflows og ledelsesdashboards giver ledelsen det overblik, som NIS2's governance-krav reelt kræver, i stedet for en politik, som ingen uden for IT nogensinde ser. Kontroller, opgaver og dokumentation er samlet ét sted og placeret direkte i forhold til direktivets krav. At være klar til en audit betyder ikke længere en panisk søgning gennem gamle e-mailtråde.

Den største, mere usynlige omkostning ved manuelt NIS2-arbejde er personaleressourcer. Formalize er bygget til at automatisere de gentagne opgaver i stedet: påmindelser, periodiske gennemgange og incident-workflows. Det er de opgaver, der ellers har det med at retfærdiggøre en nyansættelse eller at forlænge en konsulentkontrakt i det uendelige. Og da de fleste organisationer ikke stopper ved NIS2, kan kontroller, der først er kortlagt én gang, genbruges til ISO 27001, GDPR, og hvad der end kommer bagefter. Der er ingen grund til at starte kortlægningsarbejdet forfra hver gang.

Formalize tilbyder også en gratis NIS2-gap-analyse og 22 foruddefinerede NIS2-kontroller, der allerede er kortlagt i forhold til direktivet, til teams, der ønsker et konkret udgangspunkt i stedet for en tom side.

NIS2-compliance-deadlines

Medlemsstaterne skulle have gennemført NIS2 i national lovgivning senest den 17. oktober 2024, så forpligtelserne gjaldt fra dagen efter. I praksis skred den tidsplan i mange lande. Midt i 2026 har 23 ud af 27 medlemsstater den nationale NIS2-lovgivning fuldt i kraft. De resterende fire lande – Frankrig, Irland, Holland og Spanien – er blevet indbragt for EU-Domstolen på grund af forsinkelsen.

Den lappeløsning ændrer ikke på, hvad organisationer bør gøre. Hvis I er omfattet, er den nationale håndhævelse enten allerede aktiv eller lige på trapperne. Det gælder uanset præcis hvilken uge, dit lands lov trådte i kraft. At vente på en specifik lokal frist før I starter, er et dårligt sats. Start gap-analysen nu. Behandl den lokale implementeringsdato som en fast deadline frem for en vejledende en.

Sanktioner ved manglende overholdelse

Bøderne skalleres efter enhedstype. Væsentlige enheder står til op til 10 mio. euro eller 2 % af den globale årlige omsætning, alt efter hvad der er højest. Vigtige enheder står til op til 7 mio. euro eller 1,4 % på samme grundlag.

Ud over bøder står væsentlige enheder over for en skrappere konsekvens. I henhold til artikel 32 kan de nationale myndigheder anmode om et midlertidigt forbud mod, at en navngiven person på direktør- eller repræsentantniveau overhovedet varetager ledelsesfunktioner. Det følger efter en påvist overtrædelse. Denne specifikke beføjelse gælder for væsentlige enheder. Vigtige enheder hører under et separat og generelt mindre strengt håndhævelsesspor. Uanset hvad er retningen den samme. NIS2 gør svigt i cybersikkerheden til en personlig og ikke kun en virksomhedsmæssig konsekvens.

De præcise mekanismer varierer dog fra land til land. NIS2 er et direktiv og ikke en forordning, så hver enkelt medlemsstat gennemfører artikel 32 i sin egen nationale lovgivning. Den specifikke proces for et ledelsesforbud – hvem der kan anmode om det, hvad der tæller som en påvist overtrædelse, og hvordan det håndhæves – afhænger af, hvordan dit land har implementeret direktivet, og ikke af en enkelt EU-dækkende procedure.