NIS 2-loven § 6 – Krav til cybersikkerhedsforanstaltninger

Kort fortalt

Alle væsentlige og vigtige enheder skal indføre passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for de net- og informationssystemer, de bruger. Loven opregner ti områder, som foranstaltningerne som minimum skal dække, fra risikoanalyse og hændelseshåndtering over backup, leverandørsikkerhed og kryptering til adgangskontrol og multifaktorlogin. Opdager en enhed, at den ikke lever op til kravene, skal den uden unødigt ophold rette op. En minister kan fastsætte nærmere regler om foranstaltningerne.

Det betyder i praksis

I skal kunne vise, at jeres sikkerhedsniveau står i forhold til jeres risici, ikke at alle gør det samme. Brug de ti områder som tjekliste, dokumentér valgene og sørg for, at ledelsen godkender resultatet (§ 7). Husk, at ministerielle regler kan tilføje detaljer.

Eksempel

Et spildevandsselskab laver en risikoanalyse, tager backup af styresystemerne og stiller sikkerhedskrav til sin it-leverandør. Opdager selskabet, at fjernadgangen kun er beskyttet med en adgangskode, skal det indføre en stærkere løsning uden unødigt ophold.

Ofte stillede spørgsmål

Hvilke ti områder skal sikkerhedsforanstaltningerne som minimum dække?

Risikoanalyse og sikkerhedspolitikker, hændelseshåndtering, driftskontinuitet med backup og krisestyring, sikkerhed i forsyningskæden, sikkerhed ved indkøb og udvikling af systemer inklusive sårbarhedshåndtering, vurdering af om foranstaltningerne virker, cyberhygiejne og uddannelse, kryptografi, personalesikkerhed med adgangskontrol og aktivstyring, og multifaktorlogin og sikret kommunikation, hvor det er relevant.

Skal en lille virksomhed leve op til de samme krav som en stor?

Kravet er, at foranstaltningerne er passende og forholdsmæssige. Det peger på, at niveauet skal stå i forhold til risikoen, men loven indeholder ingen tabel over, hvad en lille eller stor enhed skal gøre. Ministeren kan fastsætte nærmere regler (stk. 3).

Er ISO 27001 eller en anden standard et krav?

Ikke efter lovteksten. § 6 nævner ingen bestemt standard eller certificering som krav, men regler fastsat efter stk. 3 kan indeholde nærmere krav. En minister kan efter § 8 fastsætte regler om, at bestemte certificerede it-produkter skal bruges, men det er en særskilt mulighed. En standard kan dog hjælpe med at dokumentere, at I har dækket de ti områder.

Hvad sker der, hvis vi opdager en mangel hos os selv?

Så skal I hurtigt, uden unødig tøven, gennemføre de rettelser, der er nødvendige, passende og forholdsmæssige (stk. 2). Overtrædelse af § 6, stk. 1 eller 2, kan straffes med bøde, jf. § 32.

Relaterede bestemmelser

Samme emne i andre regler

Sikkerhedsforanstaltninger og risikostyring

GDPR artikel 32 – Behandlingssikkerhed – Kræver passende tekniske og organisatoriske foranstaltninger, der står mål med risikoen for de personer, hvis oplysninger behandles.
NIS2-direktivet artikel 21 – Foranstaltninger til styring af cybersikkerhedsrisici – Fastsætter minimumsforanstaltningerne til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder.
Lov om sikkerhed og beredskab i telesektoren § 5 – Krav til sikkerhedsforanstaltninger – Det tilsvarende krav til væsentlige og vigtige teleudbydere.
Lov om styrket beredskab i energisektoren § 8 – Cybersikkerhedsforanstaltninger – Energivirksomheders pligt til at planlægge og gennemføre passende cybersikkerhedsforanstaltninger.
Lov om styrket beredskab i energisektoren § 7 – Fysisk sikring – Energivirksomheders pligt til fysisk sikring af lokationer og anlæg.
DORA artikel 6 – Ramme for IKT-risikostyring – Finansielle enheder skal have en dokumenteret ramme for styring af IKT-risici.
CER artikel 13 – Kritiske enheders modstandsdygtighedsforanstaltninger – Kritiske enheder skal træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, også til fysisk beskyttelse og genopretning.
AI Act artikel 15 – Nøjagtighed, robusthed og cybersikkerhed – Højrisiko-AI-systemer skal være nøjagtige, robuste og cybersikre.

Den officielle ordlyd

§ 6. Væsentlige og vigtige enheder skal træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer, som disse enheder anvender til deres operationer eller til at levere deres tjenester, og for at forhindre hændelser eller minimere deres indvirkning på modtagere af deres tjenester og på andre tjenester. Foranstaltningerne skal som minimum omfatte følgende:

Politikker for risikoanalyse og informationssystemsikkerhed.
Håndtering af hændelser.
Driftskontinuitet, herunder backupstyring og reetablering efter en katastrofe og krisestyring.
Forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter vedrørende forholdene mellem den enkelte enhed og dens direkte leverandører eller tjenesteudbydere.
Sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder.
Politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici.
Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse.
Politikker og procedurer vedrørende brug af kryptografi og, hvor det er relevant, kryptering.
Personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver.
Brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer internt hos enheden, hvor det er relevant.

Stk. 2. En enhed, der ikke overholder ét eller flere af de krav, der er nævnt i stk. 1, til foranstaltningerne eller regler om krav til foranstaltninger fastsat i medfør af stk. 3, skal uden unødigt ophold træffe alle nødvendige, passende og forholdsmæssige korrigerende foranstaltninger.

Stk. 3. Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte nærmere regler om foranstaltninger efter stk. 1.

Den officielle tekst følger LOV nr. 434 af 6. maj 2025.

→ Fuld officiel tekst på Retsinformation

Se kapitlet 2 – Foranstaltninger til styring af cybersikkerhedsrisici