hvordan registrerer jeg min organisation som en NIS2-pligtig enhed

Registrering foregår gennem den nationale tilsynsmyndighed, ikke gennem denne platform

Registrering er et selvstændigt, formelt trin: en enhed, der er klassificeret som væsentlig eller vigtig efter Cybersikkerhedsloven, tilmelder sig selv til den kompetente tilsynsmyndighed via portalen, der er etableret til dette formål. Dette sker uafhængigt af udfyldelsen af politikdokumenter eller implementering af foranstaltninger — det er det administrative trin, hvorved en organisation bliver registreret hos tilsynsmyndigheden som en forpligtet enhed. Den præcise fremgangsmåde, tidspunktet for hvornår dette skal ske, og hvilke data der skal indgå, er beskrevet på tilsynsmyndighedens egne kanaler og i Cybersikkerhedsloven.

Før registrering er relevant, er det nyttigt at fastslå, om en organisation overhovedet falder inden for den pågældende kategori; hvordan ved jeg, om min virksomhed falder ind under NIS2 giver et første billede heraf, og skelnen mellem de to kategorier, der skal registreres, er forklaret på hvad er forskellen mellem en væsentlig og en vigtig enhed. For den, der først ved, at registrering er relevant, er det næste spørgsmål normalt praktisk: hvad skal være på plads, før registreringen indsendes, og hvem i organisationen udfører det. Det overlapper med etablering af due diligence-registret, hvor status og ansvarlig for hver foranstaltning fastsættes — se hvem i min organisation skal være ansvarlig for en foranstaltning. Denne platform forbereder tekster og data til registrering, men skal aldrig indsendes på vegne af kunden ved tilsynsmyndighedens portal; det forbliver altid et selvstændigt trin for organisationen selv.

Hvorfor registreringspligten adskilles fra due diligence-pligten

Registreringspligten og due diligence-pligten er to forskellige forpligtelser, som NIS2-direktivet påfører væsentlige og vigtige enheder: artikel 21, stk. 2, i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 beskriver de ti foranstaltninger, der tilsammen udgør due diligence-pligten, mens rapporteringspligten og registreringen er reguleret separat og i Danmark er gennemført i Cybersikkerhedsloven. NCSC giver vejledning om, hvordan due diligence-pligten og rapporteringspligten hænger sammen i praksis, og den tilsynsmyndighed, der hører til den pågældende sektor, er den, hvor registreringen i sig selv finder sted.