Ét EU-direktiv endte fire forskellige steder i dansk lovgivning. Hvor I skal kigge, afhænger af jeres branche. Og slår I op det forkerte sted, finder I hverken jeres krav eller jeres tilsynsmyndighed.
Fire love, fire datoer
Danmark samlede det ikke i én lov. Resultatet blev en hovedlov på tværs af sektorer, egne love til energi og tele, og et sæt særregler inde i lov om finansiel virksomhed.
Datoerne fortæller resten. I oktober 2024 trådte de finansielle særregler i kraft for en lille gruppe: de IT-leverandører, Finanstilsynet har udpeget som operatører af finansiel digital infrastruktur. I januar 2025 kom den europæiske forordning om digital operationel modstandsdygtighed for banker og øvrige finansielle virksomheder. For dem gælder NIS2 slet ikke. Den finansielle forordning træder i stedet.
I marts 2025 fik energisektoren sin egen lov om styrket beredskab. Og den 1. juli 2025 kom hovedloven for de øvrige sektorer sammen med telesektorens lov.
Fire steder. Fire ikrafttrædelsesdatoer. Finder I ikke jer selv i hovedloven, kan I sagtens stå et andet sted.
Samme aktivitet, anden lov, anden myndighed
Tag et affaldsforbrændingsanlæg. De fleste ville placere det under affaldshåndtering. Men SAMSIK skriver, at Energistyrelsen fører tilsyn med affaldsforbrændingsanlæg, fordi de hører under energiloven.
Samme aktivitet. Anden lov. Anden myndighed.
Den anden vej findes også. Driver I infrastruktur, som flere finansielle virksomheder er afhængige af, kan Finanstilsynet udpege jer. Så er I inde i finansreglerne uden at være bank.
Bekendtgørelserne er ofte det afgørende
Hovedloven er ikke sidste stop. Under den kommer bekendtgørelser for de enkelte sektorer, og det er ofte dem, der siger, hvad I konkret skal gøre, hvordan I melder en hændelse, og hvem der kontrollerer jer. De konkrete krav står ikke nødvendigvis i selve loven.
Og sektorlovene er ikke den lette udgave. Energiloven samler cybersikkerhed, fysisk sikring og beredskab ét sted. Hvad I skal leve op til, afhænger af jeres niveau og anlæggets klasse, men det kan spænde fra beredskabsplaner og adgangskontrol til netværksopdeling og overvågning døgnet rundt.
Tre ting at gøre nu
Find den rigtige lov, ikke bare om I er omfattet. Energi og tele har egne love. Finans har særregler og en selvstændig forordning. Resten ligger som hovedregel i hovedloven. Start med at finde den lov, jeres sektor hører under.
Undersøg, om Finanstilsynet kan udpege jer. Er flere finansielle virksomheder afhængige af den infrastruktur, I driver, ændrer det både regler og tilsynsmyndighed.
Har I aktiviteter i mere end én sektor, skriv ned, hvilke regler hver aktivitet falder under. To regelsæt kan gælde på samme tid. Og det er bedre at opdage det nu end ved et tilsyn.
En NIS2-audit kan afdække, hvilken lov jeres aktiviteter hører under, og om I har fundet den rigtige myndighed, før myndigheden finder jer.
Hvis I skulle finde den paragraf, jeres cybersikkerhedskrav står i, hvilken lov ville I så slå op i?
Har du brug for hjælp til at navigere NIS2-lovgivningen?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
