Registrering efter NIS 2-loven

Hvem skal registrere sig

Registreringspligten står i § 10 i NIS 2-loven. Den gælder for væsentlige og vigtige enheder samt for enheder, der leverer domænenavnsregistreringstjenester. For en række digitale udbydere gælder i stedet de udvidede regler i § 9: DNS-tjenesteudbydere, topdomænenavneadministratorer, domæneregistratorer og udbydere af cloud, datacentre, indholdsleveringsnetværk, administrerede tjenester, administrerede sikkerhedstjenester, onlinemarkedspladser, onlinesøgemaskiner og sociale netværk.

Virksomheder, der er omfattet af DORA-forordningen, skal ifølge Styrelsen for Samfundssikkerhed ikke registrere sig efter NIS 2-loven. Er du i tvivl om, hvorvidt din virksomhed overhovedet er omfattet, så start med siden om anvendelsesområdet.

Fristerne

To uger er kort tid. En virksomhed kan blive omfattet, fordi den passerer 50 ansatte, overskrider de økonomiske tærskler eller starter en ny aktivitet, fx produktion af elektrisk udstyr. Følg derfor med i tallene, og få registreringen klar, før grænsen passeres. Har I overset den oprindelige frist, bør I registrere jer straks. En manglende registrering kan straffes med bøde efter § 32, stk. 1, nr. 1.

Hvilke oplysninger skal du give

Efter § 10, stk. 1, skal registreringen indeholde:

• enhedens navn,
• adresse og ajourførte kontaktoplysninger, herunder e-mailadresser, ip-intervaller og telefonnumre,
• den relevante sektor og delsektor efter bilag 1 eller 2,
• en liste over de øvrige EU-medlemsstater, hvor enheden leverer tjenester, der er omfattet af direktivet.

Digitale udbydere efter § 9 skal desuden oplyse typen af enhed, adressen på hovedforretningsstedet og de andre forretningssteder i EU, eller den repræsentant, de har udpeget, hvis de ikke er etableret i EU.

Særligt om ip-adresser

Ip-intervallerne volder ofte besvær. Styrelsen for Samfundssikkerhed forklarer, at der skal angives faste offentlige ip-adresser på egne servere, som kan nås fra internettet. Dynamiske adresser skal ikke med, og det samme gælder hjemmearbejdspladser, rent udgående forbindelser og delte tjenester som Microsoft 365. Adresser angives i CIDR-format. Har I ingen faste offentlige adresser, skal I kort forklare hvorfor. Spørg jeres internetudbyder, hvis I er i tvivl.

Sådan registrerer du virksomheden

Kan I ikke bruge den digitale løsning, fordi virksomheden har hjemsted i udlandet og ikke kan få dansk digital signatur, kan den kompetente myndighed efter anmodning give fritagelse i 2 år (§ 16 i bekendtgørelse nr. 620).

Hvilken myndighed modtager registreringen

Danmark har ikke én samlet NIS2-myndighed. Bekendtgørelse nr. 620 udpeger en kompetent myndighed for hver sektor. Nogle eksempler:

• Styrelsen for Samfundssikkerhed: kommuner, den centrale forvaltning, kemikalier og fremstilling af computere, elektrisk udstyr, maskiner og køretøjer (§§ 1 og 12).
• Digitaliseringsstyrelsen: cloud, datacentre, DNS, tillidstjenester, administrerede tjenester og digitale udbydere (§ 6).
• Sundhedsdatastyrelsen: sundhed, regionerne og medicinsk udstyr (§§ 2 og 4).
• Trafikstyrelsen: luftfart, jernbane, vejtransport, havne og post (§ 7).
• Miljøstyrelsen: drikkevand, spildevand og affald (§ 11); Fødevarestyrelsen: fødevarer (§ 13).

Formularen på Virk.dk sender registreringen til den rigtige myndighed. Spørgsmål om selve formularen, fx hvis I mangler MitID Erhverv, går til den sektoransvarlige myndighed.

Efter registreringen

Registreringen er kun begyndelsen. Pligterne til sikkerhedsforanstaltninger og underretning om hændelser gælder, fra virksomheden er omfattet, uanset om den er registreret. Brug den samme adgang til Virk.dk, når I skal underrette om en væsentlig hændelse, og sørg for, at mindst to personer kan logge ind. Om registreringen er på plads, er et af spørgsmålene i NIS2-Scoring.