NIS2 bliver ofte gjort større og mere mystisk, end det behøver at være. I praksis handler det om én ting: kan jeres virksomhed modstå og håndtere cyberhændelser på et rimeligt niveau, og kan I dokumentere, at I arbejder struktureret med det?
Hvis du vil have et samlet overblik over, hvad der typisk forventes, kan du tage udgangspunkt i denne guide: NIS2 compliance i praksis. Resten af artiklen her er den nedbarberede, brugbare version, der kan implementeres uden at starte et internt “compliance-teater”.
Og ja, NIS2 er lovgivning. Men den gode nyhed er, at de tiltag, der faktisk rykker, også er dem der typisk giver mening for driften: færre nedbrud, mindre datatab, hurtigere recovery og bedre kontrol over leverandører.
1) Start med scope: Hvad er det, I reelt skal beskytte?
NIS2-arbejde fejler ofte, fordi man starter med dokumenter i stedet for virkeligheden.
Mini-scope (brug 45 minutter):
- Hvilke systemer er forretningskritiske? (ERP, mail, webshop, driftssystem, kundedata)
- Hvilke data vil gøre mest skade at miste eller lække?
- Hvilke tredjeparter er I afhængige af? (hosting, IT-drift, bogføring, betalingsløsninger, SaaS)
- Hvilke processer må ikke stoppe i mere end 24–48 timer?
Lav en “Top 10”-liste over systemer og leverandører. Det er nok til at komme i gang og prioriterer korrekt.
2) Governance uden show: Hvem ejer hvad?
Du behøver ikke en hel compliance-afdeling. Du skal bruge klare ansvarspunkter.
Minimum governance, der virker:
- Ledelsesejer: Én leder, der tager ejerskab for risikoniveau og prioritering.
- Sikkerhedsansvarlig (kan være delt rolle): Koordinerer tiltag, træning og hændelser.
- Systemejere: Hver kritisk løsning har en navngiven ejer (ikke “IT” som koncept).
- Incident lead: Person der leder håndtering, hvis noget går galt.
Én side dokumentation er fint:
- Hvem beslutter risikoniveau?
- Hvem godkender budget og prioritering?
- Hvem står for leverandørstyring?
- Hvem kommunikerer ved hændelser?
3) Risikovurdering i menneskesprog
Glem “risk registers” på 40 sider. Lav en vurdering, der kan læses på 10 minutter.
Skabelon pr. kritisk system:
- Trussel: Hvad kan gå galt? (ransomware, phishing, nedbrud, fejlkonfiguration)
- Konsekvens: Hvad sker der i drift/økonomi/omdømme?
- Sandsynlighed: Lav/mellem/høj
- Kontrol i dag: Hvilke tiltag har I allerede?
- Næste skridt: Hvad giver mest effekt pr. time/krone?
Målet er ikke perfektion. Målet er at kunne sige: “Her er vores største risici, og her er vores plan.”
4) Operationel tjekliste: De kontroller, der faktisk flytter noget
Her er en prioriteret liste, som passer til de fleste virksomheder og som typisk er “good enough” til at stå stærkt.
A) Identiteter og adgang (høj effekt, lavt bøvl)
- MFA på alle administrator-konti (og helst alle brugere)
- Fjern gamle brugere og delte logins
- Adgang efter rolle: medarbejdere har kun det, de skal bruge
- Password manager som standard (ikke “Excel med koder”)
Quick win: Slå MFA til på mail, cloud og økonomisystem i dag.
B) Patch- og sårbarhedsstyring
- Fast patch-rytme (fx ugentlig for kritiske, månedlig for resten)
- Oversigt over hvilke systemer der patches af jer vs. leverandør
- Sårbarhedsscanning (kan være simpel) på eksterne flader
- Procedure for “kritisk sårbarhed”: hvem gør hvad indenfor 48 timer?
C) Backup og recovery (det her er forskellen på uheld og katastrofe)
- 3-2-1 backup-princip: 3 kopier, 2 medier, 1 offsite
- Backup, der ikke kan slettes med samme admin-konto (immutable/offline)
- Test restore kvartalsvist (ellers ved I ikke, om det virker)
- Recovery mål: hvad skal op igen først, og hvor hurtigt?
Minimum: Test én restore på det vigtigste system. Dokumentér resultatet.
D) Logging og overvågning
- Central logning for kritiske systemer (mail, endpoints, servere)
- Alarmer på “umulige” login-hændelser og admin-ændringer
- Endpoint protection på alle enheder
- Simpel “review”-rutine (ugentlig status, månedlig dybere)
Du behøver ikke et SOC i første omgang, men I skal kunne opdage ting før kunderne gør.
E) Incident response: Når det går galt
- Én side “hændelsesplan”:
- Hvordan opdages hændelsen?
- Hvem ringes op først?
- Hvad isoleres først? (mail, endpoints, netværk)
- Hvem må kommunikere eksternt?
- Kontaktliste og leverandørnumre samlet
- Skabelon til intern kommunikation (for at undgå panik og rygter)
Praktisk test: Kør en 30-min tabletop: “Hvad gør vi ved ransomware?” Notér huller.
F) Awareness og adfærd
- Phishing-træning 2–4 gange om året
- Minimum policy: “ingen delte logins”, “MFA altid”, “rapportér mistænkelige mails”
- En kanal til hurtig rapportering (fx “security@…” eller Teams kanal)
Træning virker kun, hvis det er kort, konkret og gentaget.
5) Leverandørstyring: Angrebet kommer ofte via tredjeparter
NIS2 handler også om leverandører, fordi de ofte er den nemmeste indgang.
Leverandør-check (Top 10 leverandører):
- Hvilke data har de adgang til?
- Har de MFA og adgangskontrol?
- Hvor ligger data (land, cloud)?
- Hvordan håndteres supportadgang?
- Har I en exit-plan (kan I skifte leverandør uden kaos)?
- Har I en hændelsesprocedure med dem (hvem informerer hvem, hvornår)?
I kontrakter bør der stå noget om:
- Sikkerhedskrav (MFA, logging, patching)
- Notifikation ved hændelser
- Underleverandører
- Backup/recovery-ansvar
6) Dokumentation: Kun det, I faktisk bruger
Dokumentation bliver hurtigt en kirkegård af PDF’er. Hold det levende og kort.
Minimum dokumentpakke (7 punkter):
- Scope og kritiske systemer (Top 10)
- Roller/ansvar (governance)
- Risikooversigt (Top 10 risici + plan)
- Patch- og backup-rutine (hvad, hvornår, hvem)
- Incident plan (1 side)
- Leverandør-oversigt (Top 10 + status)
- Træningsplan (datoer + emner)
Hvis I vil læse direktivteksten selv (for at få ro i maven), så er den her: NIS2-direktivet på EUR-Lex.
7) 30-60-90 dage: Implementeringsplan uden drama
Første 30 dage (stabilisér):
- MFA på mail + admin-konti
- Top 10 systemer + Top 10 leverandører
- Backup check + én restore-test
- Én side incident plan
Dag 31–60 (styrk):
- Patch-rytme og sårbarhedsrutine
- Endpoint protection overalt
- Logging på kritiske systemer
- Leverandørkrav og kontaktflows
Dag 61–90 (modn):
- Tabletop øvelse (ransomware + datalæk)
- Phishing-træning
- Opdater risikooversigt
- Månedlig rapportering til ledelsen: status, huller, næste prioritet
8) KPI’er: Mål noget, der giver mening
Hvis du vil undgå “bureaukrati”, skal du kunne vise fremdrift med få tal.
Gode, simple målepunkter:
- % brugere med MFA (mål: 95–100%)
- Patch compliance på kritiske systemer (mål: >90% indenfor SLA)
- Restore-test gennemført (ja/nej pr. kvartal)
- Antal kritiske leverandører med opfyldte minimumskrav (mål: Top 10 i kontrol)
- Tid til at opdage og isolere en hændelse (mål: falder over tid)
Afslutning: NIS2 som driftssund fornuft
NIS2 compliance i praksis er ikke en skrivebordsøvelse. Det er en måde at drive en virksomhed, hvor du kan tåle, at noget går galt, uden at hele forretningen går i stå. Hvis du tager tjeklisten ovenfor og gennemfører 30-60-90 planen, står du stærkt, både i forhold til risiko og forventninger.
Det vigtigste er at undgå den klassiske fejl: at bruge måneder på dokumentation, mens adgangskonti, backups og leverandørhuller stadig er åbne som en ladeport.
