NIS2 for små virksomheder: er du omfattet – og hvad så?

Kort svar: NIS2 er EU’s cybersikkerhedsdirektiv, som i Danmark er gennemført med NIS 2-loven, der trådte i kraft 1. juli 2025. Loven gælder for bestemte sektorer – fx energi, transport, sundhed, digital infrastruktur og en række produktions- og forsyningsområder – og som hovedregel kun for mellemstore og store virksomheder. Den lille webshop er derfor sjældent direkte omfattet, men kan blive ramt indirekte som leverandør til omfattede virksomheder, der skal stille sikkerhedskrav ned i kæden. Tjek to ting: er din sektor og størrelse omfattet, og hvad kræver dine store kunder af dig?

Fagligt gennemgået: 2. oktober 2026

NIS2 har fået mange små virksomheder til at spørge: „Gælder det os?“ For de fleste er det ærlige svar „ikke direkte – men måske via kunderne“. Her er, hvem loven rammer, hvad den kræver, og hvad du som SMV bør gøre – både for at kunne svare kunderne og fordi kravene i bund og grund er god sikkerhedspraksis.

Artiklen er en praktisk introduktion pr. oktober 2026, ikke juridisk rådgivning. Afgrænsningen har mange detaljer, så brug Styrelsen for Samfundssikkerheds vejledninger og værktøj på samsik.dk, hvis du er i tvivl om din egen virksomhed.

Hvem rammes direkte?

NIS2 opdeler omfattede virksomheder i væsentlige og vigtige enheder inden for udvalgte sektorer: bl.a. energi, transport, bank og finans, sundhed, drikkevand og spildevand, digital infrastruktur, offentlig forvaltning, post, affald, kemikalier, fødevarer, fremstilling af visse produkter og digitale udbydere.

Hovedreglen er en størrelsestærskel. Ifølge Styrelsen for Samfundssikkerheds vejledning om anvendelsesområdet gælder loven typisk fra mellemstore virksomheder: mindst 50 årsværk eller en årlig omsætning og balance over 10 mio. euro. Store virksomheder over de højere tærskler er som udgangspunkt væsentlige enheder, mellemstore vigtige.

Der er undtagelser, hvor størrelsen ikke betyder noget. Fx er udbydere af DNS-tjenester, administratorer af topdomæner og kvalificerede tillidstjenesteudbydere omfattet uanset størrelse, og små virksomheder kan også blive omfattet, hvis de har særlig samfundsmæssig betydning. En almindelig dansk webshop eller et lille webbureau står sjældent på listen, men driver du fx digital infrastruktur, skal du læse afgrænsningen grundigt.

Omfattede virksomheder skulle registrere sig senest 1. oktober 2025. Er du i tvivl, så brug styrelsens værktøj til at vurdere, om du er omfattet.

Leverandørkæden: den indirekte vej

Omfattede virksomheder skal styre risikoen i deres leverandørkæde. Det omsættes til spørgeskemaer, kontraktkrav og audits ned mod leverandørerne – også den lille softwareleverandør, det lille bureau eller webshoppen med B2B-aftaler.

Får du et NIS2-spørgeskema fra en stor kunde, er det altså ikke fordi du er omfattet – det er fordi kunden er. Svar ærligt og struktureret: hvilke systemer, hvilke leverandøraftaler, hvilke sikkerhedstiltag og hvilken beredskabsplan. Konkrete svar er blevet et konkurrenceparameter i B2B-salg.

Kravene i store træk

For de omfattede virksomheder handler NIS 2-loven om fire ting:

• Ledelsesansvar: ledelsen skal godkende foranstaltningerne til styring af cybersikkerhedsrisici, følge op på dem og have tilstrækkelig viden til at vurdere risiciene.
• Risikostyring: passende tekniske og organisatoriske tiltag, fx adgangsstyring, kryptering, backup, sårbarhedshåndtering, hændelseshåndtering og leverandørstyring.
• Hændelsesunderretning: væsentlige hændelser skal underrettes til den sektoransvarlige myndighed og CSIRT via virk.dk.
• Dokumentation: virksomheden skal kunne vise, hvad den gør og hvorfor.

Bøderammerne er betydelige. Genkender du strukturen, er det fordi den ligner god sikkerhedspraksis i forvejen. NIS2 gør den bare obligatorisk og forankret i ledelsen.

Fristerne for hændelsesunderretning

Ifølge Styrelsen for Samfundssikkerheds vejledning om hændelsesunderretning skal omfattede enheder underrette i tre trin:

Trin	Frist	Indhold
Tidlig varsling	Inden for 24 timer efter, at hændelsen er opdaget	Første melding om en væsentlig hændelse
Hændelsesunderretning	Inden for 72 timer	Opdatering og første vurdering af hændelsen
Endelig rapport	Senest 1 måned efter hændelsesunderretningen	Beskrivelse, årsag, tiltag og konsekvenser

Ansvaret for at underrette bliver hos virksomheden, også selvom driften af it-systemerne er outsourcet. Det er endnu en grund til at have overvågning og beredskab på plads, før hændelsen sker.

NIS2 og GDPR: to regelsæt, der kan ramme samme hændelse

NIS2 handler om cybersikkerhed og driftssikkerhed, GDPR om persondata. De overlapper, når en hændelse både forstyrrer driften og rammer personoplysninger – fx et ransomware-angreb på et system med kundedata. Så kan der være pligt til at underrette efter begge regelsæt.

Efter GDPR artikel 33 skal et brud på persondatasikkerheden som udgangspunkt anmeldes til Datatilsynet inden for 72 timer, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte. Den pligt gælder alle virksomheder, også dem der slet ikke er omfattet af NIS2. Derfor bør selv den mindste virksomhed have en kort procedure for, hvem der vurderer en hændelse, og hvem der anmelder.

Typiske misforståelser

• „Vi er små, så vi skal ikke gøre noget.“ Måske ikke efter NIS2 – men kunderne kan stadig stille krav, og GDPR gælder uanset størrelse.
• „Vores hostingudbyder klarer sikkerheden.“ Hosten driver serverne, men adgange, opdateringer af plugins, brugere og beredskab er stadig dit ansvar.
• „NIS2 kræver en bestemt certificering.“ Loven kræver passende foranstaltninger og dokumentation, ikke et bestemt certifikat. Kunder kan dog selv stille krav om standarder i deres kontrakter.

SMV-planen: det fornuftige minimum

Uanset om du er omfattet eller ej, er NIS2’s kernetiltag sund drift. Du får brug for dem den dag, kunderne spørger:

1. Styr på adgange: totrinslogin, færrest mulige administratorer og en fast procedure, når nogen stopper.
2. Opdateringer og sårbarheder: håndteret systematisk og overvåget, jf. guiden om overvågning af filændringer og sårbarheder.
3. Backup, der er testet: en backup tæller først, når en gendannelse er prøvet, jf. gendannelsesøvelsen.
4. En nedskrevet beredskabsplan: hvem gør hvad, og hvem kontaktes, når noget går galt.
5. Leverandøroverblik: hvem driver hvad, med hvilke aftaler og hvor data ligger, jf. hubben om datasuverænitet.

Skriv det ned på få sider, og hold det opdateret. Så er både spørgeskemaerne og virkeligheden dækket.

Sådan svarer du på et leverandørspørgeskema

Forvent spørgeskemaerne, før de kommer. Den lille virksomhed, der kan svare konkret på en dag – „ja, totrinslogin på alle administratorkonti, backup testes årligt, her er vores beredskabsplan“ – står stærkere end den, der svarer vagt efter tre uger.

• Saml svarene i ét dokument første gang, og genbrug det.
• Svar kun på det, du kan dokumentere. „Planlagt“ er et ærligt svar; „ja“ uden grundlag er en risiko.
• Bed dine egne leverandører, fx hosting og mail, om de oplysninger, du ikke selv har: serverplacering, backup og support.
• Notér hullerne, du opdager, og brug dem som din forbedringsliste.

Brug NIS2 som anledning – ikke som trussel

For de fleste små virksomheder er den kloge NIS2-strategi ikke at jagte lovteksten, men at bruge den som anledning til at få basissikkerheden på plads. Det er præcis de ting, dine større kunder nu skal kræve af deres leverandører – og dermed af dig.

Vælg samtidig leverandører, der kan svare konkret for sig. Hos Hostious får du som dansk virksomhed med servere i Europa bl.a. daglig backup med selvbetjent gendannelse på WordPress hosting og dansk support døgnet rundt – oplysninger, du kan bruge direkte i dit eget leverandøroverblik.

Læs også

• Hub: Lovkrav til hjemmesider og webshops
• Test din backup: gendannelsesøvelsen, de fleste springer over
• Databehandleraftale med dit hostingfirma: det skal du tjekke
• Nedbrudsplanen: hvem gør hvad, når sitet er nede kl. 23?
• WordPress hosting hos Hostious – daglig og manuel backup med selvbetjent gendannelse

Ofte stillede spørgsmål om NIS2

Er min webshop omfattet af NIS2?

Som hovedregel ikke direkte. Loven retter sig mod bestemte sektorer og typisk virksomheder med mindst 50 årsværk eller en omsætning og balance over 10 mio. euro. Tjek sektor og størrelse med Styrelsen for Samfundssikkerheds værktøj, og vær opmærksom på krav via store kunder.

Hvad gør jeg med et NIS2-spørgeskema fra en kunde?

Svar ærligt og struktureret om systemer, leverandøraftaler, sikkerhedstiltag, backup og beredskab. Gode svar er blevet et konkurrenceparameter i B2B, og hullerne, du finder, er din forbedringsliste.

Hvad er hændelsesfristerne i NIS2?

For omfattede enheder: tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og en endelig rapport senest en måned efter. Underretningen sker via virk.dk til den sektoransvarlige myndighed og CSIRT.

Hvornår trådte NIS 2-loven i kraft i Danmark?

Loven trådte i kraft 1. juli 2025, og omfattede virksomheder skulle registrere sig senest 1. oktober 2025. Er du i tvivl om, hvorvidt du er omfattet, så brug vejledningerne på samsik.dk.