Den danske NIS2-lov har været i kraft siden 1. juli 2025, og mange ejere af mindre virksomheder spørger stadig: Gælder det også mig? Når man taler om NIS2 og små virksomheder, er det korte svar, at de fleste små virksomheder ikke er direkte omfattet. Men det betyder ikke, at loven er ligegyldig. Mange mærker den alligevel, fordi større kunder nu stiller krav til deres leverandører.
I dette indlæg gennemgår vi, hvad NIS2 er, hvem der er omfattet, og hvad du som ejer af en lille eller mellemstor virksomhed konkret kan gøre for at være forberedt – uden at bruge en formue.
Hvad er NIS2?
NIS2 er et EU-direktiv om cybersikkerhed, som skal sikre et højere og mere ensartet sikkerhedsniveau på tværs af EU. I Danmark er direktivet gennemført med en ny lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, som trådte i kraft 1. juli 2025. Loven erstatter de tidligere regler fra det første NIS-direktiv og dækker langt flere brancher end før.
Formålet er enkelt: Virksomheder, der er vigtige for samfundet, skal have styr på deres IT-sikkerhed, kunne håndtere hændelser og give besked til myndighederne, når noget går galt.
NIS2 og små virksomheder: Er du omfattet?
Som udgangspunkt gælder NIS2 for mellemstore og store virksomheder inden for bestemte sektorer. En virksomhed regnes som mellemstor, når den har mindst 50 ansatte eller en årlig omsætning på over 10 millioner euro. Har du færre ansatte og en lavere omsætning, er du som regel ikke direkte omfattet.
Der er dog undtagelser. Nogle typer virksomheder er omfattet uanset størrelse, fordi de er særligt kritiske for samfundet. Det gælder blandt andet visse udbydere af digital infrastruktur. Derudover skal virksomheden høre til en af de sektorer, loven nævner, fx energi, transport, sundhed, digital infrastruktur, affald, fødevarer og visse former for produktion.
Tre hurtige spørgsmål til at vurdere din situation
- Har din virksomhed 50 ansatte eller flere – eller en omsætning på over 10 millioner euro om året?
- Arbejder du inden for en af de sektorer, NIS2 dækker?
- Leverer du varer, IT eller services til virksomheder eller offentlige myndigheder, der selv er omfattet?
Svarer du nej til de to første, er du sandsynligvis ikke direkte omfattet. Svarer du ja til det tredje, bør du læse videre – for så kan NIS2 alligevel påvirke din hverdag. Er du i tvivl om, hvorvidt din virksomhed er omfattet, så tjek myndighedernes vejledning eller tal med en rådgiver, da vurderingen kan afhænge af detaljer.
Derfor rammer NIS2 også mindre leverandører
En af de vigtigste dele af NIS2 er sikkerhed i forsyningskæden. Omfattede virksomheder skal vurdere risikoen ved deres leverandører og underleverandører. I praksis betyder det, at en lille virksomhed kan blive bedt om at dokumentere sin IT-sikkerhed, selvom loven ikke gælder direkte for den.
Det kan fx ske, hvis du:
- leverer IT-drift, webudvikling eller software til en større kunde
- har adgang til en kundes systemer eller data
- er underleverandør til en virksomhed inden for transport, energi eller sundhed
- deltager i udbud, hvor sikkerhedskrav indgår i kontrakten
Kunderne vil typisk spørge ind til ting som adgangsstyring, backup, opdateringer og hvordan du håndterer et sikkerhedsbrud. Kan du svare klart på de spørgsmål, står du stærkere – både når du skal beholde eksisterende kunder, og når du byder på nye opgaver.
Hvad kræver NIS2 af omfattede virksomheder?
Selvom du ikke selv er omfattet, er det nyttigt at kende kravene, fordi det ofte er dem, dine kunder vil spejle i deres krav til dig. Direktivet nævner en række minimumstiltag, blandt andet:
- risikoanalyse og politikker for informationssikkerhed
- håndtering af sikkerhedshændelser
- driftskontinuitet, herunder backup og krisestyring
- sikkerhed i forsyningskæden
- grundlæggende cyberhygiejne og uddannelse af medarbejdere
- kryptering, hvor det er relevant
- adgangsstyring og overblik over IT-aktiver
- multifaktorgodkendelse (to-faktor-login)
Derudover har ledelsen et direkte ansvar. Ledelsen skal godkende og følge op på sikkerhedstiltagene og gennemgå uddannelse i cybersikkerhed.
Indberetning af hændelser
Omfattede virksomheder skal indberette væsentlige hændelser i flere trin: en tidlig varsling inden for 24 timer, en egentlig underretning inden for 72 timer og en endelig rapport senest en måned efter. Det stiller krav om, at man har en plan, før noget sker.
Bøder ved manglende overholdelse
Bødeniveauet er højt. For væsentlige enheder kan bøden udgøre op til 10 millioner euro eller 2 procent af den globale årlige omsætning, og for vigtige enheder op til 7 millioner euro eller 1,4 procent. Det er en af grundene til, at omfattede virksomheder tager leverandørkravene alvorligt.
Sådan forbereder små virksomheder sig på NIS2 – trin for trin
Den gode nyhed er, at de vigtigste tiltag hverken er dyre eller komplicerede. Mange af dem giver mening uanset NIS2, fordi de beskytter mod de mest almindelige angreb som phishing og ransomware.
1. Få overblik over dine systemer og data
Lav en simpel liste over de systemer, du bruger: mail, regnskab, hjemmeside, kundedata og cloud-tjenester. Notér hvem der har adgang, og hvor de vigtigste data ligger.
2. Slå to-faktor-login til overalt
Multifaktorgodkendelse er et af de mest effektive tiltag mod kontoovertagelse. Start med mail, regnskabssystem og administratoradgang til din hjemmeside.
3. Hold software og hjemmeside opdateret
Forældede plugins og systemer er en klassisk indgang for angribere. Kører din hjemmeside på WordPress, er løbende opdateringer og sikkerhedsovervågning et must. Læs også vores indlæg om, hvorfor en WordPress-hjemmeside er et godt valg for lokale virksomheder.
4. Tag backup – og test den
En backup er kun noget værd, hvis den kan gendannes. Opbevar mindst én kopi adskilt fra dine daglige systemer, og test jævnligt, at gendannelsen virker.
5. Lav en enkel plan for sikkerhedsbrud
Skriv ned, hvem der gør hvad, hvis der sker et brud: hvem kontakter I, hvordan lukker I adgangen, og hvem skal informeres. En side på A4 er bedre end ingen plan.
6. Dokumentér det, du gør
Når en kunde spørger ind til din IT-sikkerhed, er dokumentation guld værd. Et kort sikkerhedsdokument, der beskriver dine rutiner, kan gøre det langt nemmere at besvare leverandørspørgeskemaer.
Har du brug for hjælp til at komme i gang, kan du læse mere om, hvordan vi arbejder med IT-sikkerhed for mindre virksomheder.
Ofte stillede spørgsmål
Gælder NIS2 for min lille virksomhed?
Som regel ikke direkte, hvis du har under 50 ansatte og en omsætning på under 10 millioner euro. Visse kritiske virksomhedstyper er dog omfattet uanset størrelse, og du kan blive mødt af krav fra kunder, der selv er omfattet.
Hvornår trådte NIS2 i kraft i Danmark?
Den danske NIS2-lov trådte i kraft 1. juli 2025. Du kan læse mere hos Digitaliseringsstyrelsen og i selve NIS2-direktivet på EUR-Lex.
Hvad kan en kunde kræve af mig som leverandør?
Det afhænger af kontrakten, men typiske krav handler om to-faktor-login, backup, opdateringer, adgangsstyring og en plan for håndtering af sikkerhedshændelser. Ofte skal du kunne dokumentere det.
Hvad er det første, jeg bør gøre?
Slå to-faktor-login til på mail og vigtige systemer, sørg for opdateringer og backup, og lav et simpelt overblik over dine systemer. Det løfter sikkerheden markant på kort tid.
Brug for hjælp til IT-sikkerheden?
Hos DMWeb hjælper vi små og lokale virksomheder med sikre hjemmesider, opdateringer, backup og praktisk IT-sikkerhed, som kan dokumenteres over for kunder. Book et uforpligtende møde, eller skriv til os på [email protected] – så finder vi sammen ud af, hvad der giver mening for din virksomhed.