I december sendte en dansk tilsynsmyndighed spørgeskemaer til en række danske datacentre. Det var ikke en rundspørge. Det var et tilsyn. De første under den nye cybersikkerhedslov.
393 dage og tæller
Loven har været gældende i 393 dage. Registreringsfristen udløb for 301 dage siden. Og der var ingen indfasning, ingen prøveperiode, intet år til at komme efter det.
Folketinget vedtog loven ved tredjebehandling den 29. april 2025. To måneder senere var den gældende ret. SAMSIK skriver, at fra den 1. juli 2025 skulle omfattede virksomheder og myndigheder indberette væsentlige hændelser via Virk.dk.
Til registreringen havde man tre måneder. Til underretningspligten havde man nul.
En dansk virksomhed kunne i juli 2025 have pligt til at varsle en hændelse, før den overhovedet havde registreret sig som omfattet.
Danmark var sent på den
EU-fristen for at implementere direktivet var oktober 2024. Danmark nåede det ikke. EU-Kommissionen åbnede traktatbrudssag mod 23 medlemsstater i november 2024 og sendte en begrundet udtalelse til 19 af dem i maj 2025. Danmark stod på begge lister.
De 19 lande fik to måneder til at rette op. Den danske lov trådte i kraft den 1. juli. Seks dage før fristen udløb.
Men forsinkelsen gav ikke virksomhederne længere snor. Den gav dem otte måneder mindre til at forberede sig og præcis de samme krav.
Fristen er ikke lukket bag jer
De, der ikke nåede registreringsfristen 1. oktober 2025, er ikke fritaget. Forpligtelsen består, og manglende registrering er noget af det letteste for en myndighed at konstatere.
Og fristen er ikke et vindue, der er lukket bag jer. Vokser jeres virksomhed over tærsklen eller åbner en ny aktivitet, skal I registrere jer senest to uger efter.
Der er ikke længere en dato at forberede sig til. Der er kun et spørgsmål om, hvornår spørgeskemaet lander hos jer.
Tre ting at gøre nu
Find kvitteringen for jeres registrering. Den udstedes, når registreringen gennemføres via Virk.dk. Kan ingen fremlægge den, tager den registreringsansvarlige fat i den myndighed, der fører tilsyn med jeres sektor. Ikke et gæt fra IT-afdelingen. Et papir.
Kør det vejledende NIS2-tjek på sikkerdigital.dk. Gem resultatet sammen med de svar, det bygger på, plus dato og navn. Værktøjet er vejledende, ikke en afgørelse. Men et dateret resultat er bedre end, at ingen kan forklare, hvorfor I mener, I står udenfor.
Skriv den ansvarlige og den tilsynsførende myndighed ind i beredskabsplanen. Vand og spildevand hører under Miljøstyrelsen. De øvrige sektorer og deres myndigheder står i bekendtgørelse nr. 620 af 2. juni 2025.
En NIS2-audit kan afdække, om jeres registrering, dokumentation og beredskab holder, når tilsynet banker på.
Hvad er datoen på det seneste dokument, hvor nogen hos jer skrev ned, om I er omfattet af NIS2?
Har du brug for en uafhængig vurdering af jeres NIS2-parathed?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
