Kort fortalt
Væsentlige og vigtige enheder skal uden unødigt ophold underrette modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis påvirker leveringen negativt. Er modtagerne potentielt berørt af en væsentlig cybertrussel, skal enheden uden unødigt ophold fortælle dem om foranstaltninger eller modforholdsregler, de selv kan træffe, og hvor det er relevant også om selve truslen.
Det betyder i praksis
Forbered kommunikationen til kunder ved siden af anmeldelsen til myndighederne, for det er to adskilte pligter. Giv kunderne noget, de kan handle på, ikke kun besked om, at noget er galt.
Eksempel
En leverandør af cloudtjenester opdager en sårbarhed, som angribere aktivt udnytter mod kunders servere. Leverandøren skal uden unødigt ophold underrette de potentielt berørte kunder om, hvordan de kan beskytte sig.
Ofte stillede spørgsmål
Hvem er modtagerne af vores tjenester?
Loven bruger begrebet uden at definere det nærmere. Det peger på dem, der får leveret enhedens tjenester, altså kunder og brugere. Efter stk. 2 er det ved trusler dem, der potentielt er berørt, som skal have besked.
Skal vi forklare tekniske detaljer om truslen?
Kravet er først og fremmest at oplyse, hvad kunderne selv kan gøre. Oplysning om selve truslen skal gives, hvor det er relevant. Loven kræver ikke teknisk detaljerigdom.
Kan myndigheden kræve, at vi advarer kunderne?
Ja. Efter § 22, nr. 5, og § 25, nr. 4, kan myndigheden påbyde en enhed at underrette dem, der potentielt kan være berørt af en væsentlig cybertrussel, om truslens karakter og mulige beskyttelsesforanstaltninger.
Relaterede bestemmelser
- § 12 – Anmeldelse af væsentlige hændelser
- § 16 – Myndighedernes offentliggørelse af hændelser
- § 22 – Håndhævelse over for væsentlige enheder
- NIS2-direktivet: Artikel 23 – Rapporteringsforpligtelser
Samme emne i andre regler
Hændelser og underretning
- GDPR artikel 33 – Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden – Brud på persondatasikkerheden skal som udgangspunkt anmeldes til Datatilsynet inden for 72 timer.
- GDPR artikel 34 – Underretning om brud på persondatasikkerheden til den registrerede – De berørte personer skal underrettes, når bruddet sandsynligvis indebærer en høj risiko for dem.
- NIS2-direktivet artikel 23 – Rapporteringsforpligtelser – Væsentlige hændelser indberettes i trin: tidlig varsling inden for 24 timer, underretning inden for 72 timer og en endelig rapport.
- NIS 2-loven § 12 – Anmeldelse af væsentlige hændelser – Den danske pligt til at underrette den kompetente myndighed og CSIRT’en om væsentlige hændelser.
- NIS 2-loven § 13 – Frister og indhold i anmeldelsen – Fastlægger indholdet af og fristerne for de enkelte underretninger.
- Lov om sikkerhed og beredskab i telesektoren § 9 – Frister og indhold i anmeldelsen – De trinvise underretninger om væsentlige hændelser for teleudbydere.
- Lov om styrket beredskab i energisektoren § 12 – Regler om underretning om hændelser – Giver ministeren hjemmel til at fastsætte regler om underretning af hændelser i energisektoren.
- DORA artikel 19 – Indberetning af større IKT-relaterede hændelser og frivillig underretning om væsentlige cybertrusler – Større IKT-relaterede hændelser indberettes til den kompetente myndighed i en indledende, en mellemliggende og en endelig rapport.
- CER artikel 15 – Underretning om hændelser – Kritiske enheder giver en første underretning senest 24 timer efter at være blevet opmærksom på en væsentlig forstyrrelse.
- AI Act artikel 73 – Indberetning af alvorlige hændelser – Udbydere af højrisiko-AI-systemer skal indberette alvorlige hændelser til markedsovervågningsmyndigheden.
- NIS2-direktivet artikel 35 – Overtrædelser, der medfører brud på persondatasikkerheden – Når en NIS2-overtrædelse fører til et brud på persondatasikkerheden, inddrages datatilsynsmyndigheden.
Den officielle ordlyd
§ 15. Væsentlige og vigtige enheder underretter uden unødigt ophold modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af deres tjenester negativt.
Stk. 2. Væsentlige og vigtige enheder oplyser uden unødigt ophold modtagerne af deres tjenester, som potentielt er berørt af en væsentlig cybertrussel, om eventuelle foranstaltninger eller modforholdsregler, som modtagerne kan træffe som reaktion herpå. Enhederne skal også informere de pågældende modtagere om den væsentlige cybertrussel, hvor det er relevant.
Den officielle tekst følger LOV nr. 434 af 6. maj 2025.
→ Fuld officiel tekst på Retsinformation
Se kapitlet 4 – Underretning og oplysning om væsentlige hændelser