Bøder og tilsyn efter NIS 2-loven

Hvem fører tilsyn

Danmark har valgt et sektoropdelt tilsyn. Efter § 20 i NIS 2-loven har ministeren for samfundssikkerhed og beredskab udpeget de kompetente myndigheder i bekendtgørelse nr. 620 af 2. juni 2025, som du finder på retsinformation.dk.

Energistyrelsen er myndighed for affaldsforbrændingsanlæg (§ 5 i bekendtgørelsen) og for energisektoren efter særloven. Finanssektoren hører under Finanstilsynet.

Proaktivt og reaktivt tilsyn

Forskellen mellem væsentlige og vigtige enheder viser sig især i tilsynet.

• Væsentlige enheder (§ 21): Myndigheden fører løbende tilsyn. Den kan uden retskendelse foretage kontrol på stedet og stikprøver, gennemføre regelmæssige og målrettede sikkerhedsaudits eller kræve, at et kvalificeret uafhængigt organ gør det, foretage sikkerhedsscanninger og kræve oplysninger, adgang til data og dokumentation.
• Vigtige enheder (§ 24): Tilsynet er reaktivt. Myndigheden griber ind, når der er indikationer på, at loven ikke er overholdt, fx efter en hændelse eller et tip. Værktøjerne er stort set de samme, men bruges først bagefter.

Når myndigheden kræver oplysninger eller dokumenter, skal den angive formålet og præcisere, hvad der skal udleveres og i hvilken form (§ 21, stk. 2, og § 24, stk. 2).

Håndhævelse: fra advarsel til forbud

Konstaterer myndigheden en overtrædelse, kan den over for væsentlige enheder bruge disse redskaber (§ 22):

1. advarsler,
2. bindende instrukser med frister, fx om at afhjælpe mangler,
3. påbud om at forhindre eller afhjælpe en hændelse,
4. påbud og forbud for at sikre overholdelsen,
5. påbud om at underrette kunder om en væsentlig cybertrussel,
6. påbud om at gennemføre anbefalingerne fra en sikkerhedsaudit,
7. udpegning af en person, der i en periode fører tilsyn med virksomhedens overholdelse,
8. påbud om at offentliggøre afgørelser og bødevedtagelser.

For vigtige enheder gælder en kortere liste i § 25, uden den udpegede tilsynsperson. Har tidligere skridt ikke virket, kan myndigheden over for væsentlige enheder suspendere en certificering eller godkendelse og midlertidigt forbyde personer i ledelsen at udøve ledelsesfunktioner (§ 23). Før en håndhævelsesforanstaltning skal virksomheden høres (§ 26).

Bøder: strafferetligt, ikke administrativt

Efter § 32 straffes med bøde den, der bl.a. overtræder kravene til foranstaltninger (§ 6, stk. 1 eller 2), registreringen (§§ 9 og 10), underretningen (§ 12, stk. 1, og § 13, stk. 1 eller 2) eller pligten til at underrette kunder (§ 15). Det samme gælder, hvis virksomheden ikke efterkommer påbud og afgørelser eller hindrer tilsynet. Selskaber kan straffes efter reglerne i straffelovens 5. kapitel (§ 32, stk. 2).

Lovbemærkningerne forklarer, hvorfor Danmark ikke bruger administrative bøder: Efter grundlovens § 3 og dansk retspleje kan bøder med karakter af straf kun idømmes af domstolene. Myndigheden vurderer derfor konkret, om en overtrædelse skal politianmeldes, og bøden fastsættes af anklagemyndigheden eller retten.

Bødeniveauet står ikke i selve lovteksten, men i bemærkningerne til lovforslaget. Ved overtrædelse af § 6, stk. 1, §§ 12, 13 og 15, § 16, stk. 2, og regler efter § 6, stk. 3, er det forudsat, at bøden højst udgør:

For andre overtrædelser, fx en manglende registrering, er der ikke fastsat et maksimum. Bøden kan komme oveni håndhævelsesforanstaltningerne.

Sådan undgår du sanktioner

Ifølge lovbemærkningerne indgår de hensyn, som direktivet nævner, når myndigheden overvejer en politianmeldelse, og når bøden udmåles, fx overtrædelsens alvor, de skridt virksomheden har taget for at begrænse skaden, og graden af samarbejde med myndigheden. Hold derfor dokumentationen klar: registreringen på Virk.dk, ledelsens godkendelse, risikoanalysen, logs fra test af backup og underretninger. Ret mangler op uden unødigt ophold, som § 6, stk. 2, kræver, og svar hurtigt og fuldstændigt, når myndigheden beder om oplysninger.

Et værktøj som Sightadel kan samle dokumentationen ét sted. Vil du først vide, hvor I står, så tag NIS2-Scoring. Rapporten viser også den bøderamme, der gælder for jeres klassificering.