hvad sker der, hvis jeg ikke overholder NIS2-kravene

Tilsyn, genoprætning og i sidste ende en sanktion

Hvis organisationer ikke overholder NIS2-forpligtelserne, følger der i praksis først tilsyn og mulighed for at genoprette, og først derefter — hvis det ikke sker — en sanktion fra tilsynsmyndigheden. Cybersikkerhedsloven, den danske gennemførelse af NIS2, giver tilsynsmyndigheden instrumenter til at kontrollere, om en organisation opfylder sin sikkerhedsforpligtelse og anmeldelsespligt. Hvilken tilsynsmyndighed det præcis er, varierer afhængigt af sektor; det er udarbejdet på siden om hvilken tilsynsmyndighed fører tilsyn med min sektor under NIS2. Hvis der er mangler, kan tilsynsmyndigheden give påbud, pålegge bindende instruktioner eller i senere stadier gå over til håndhævelse.

Hvad det konkret betyder, afhænger af hvad der går galt: mangel på de ti obligatoriske sikkerhedsforanstaltninger fra sikkerhedsforpligtelsen, en anmeldelse som kommer for sent eller slet ikke, eller en leverandørkæde som ikke er vurderet. For anmeldelsespligten gælder det, at der er specifikke anledninger til at anmelde; det er udarbejdet på siden om hvornår skal jeg anmelde en cyberanfald til tilsynsmyndigheden. For sikkerhedsforpligtelsen går det om en række foranstaltninger som samlet skal være i orden, beskrevet på siden om hvilke ti foranstaltninger skal jeg træffe ifølge NIS2. Desuden er der et separat spørgsmål om ledelsen personligt kan drages til ansvar ved en overtrædelse, som behandles separat på siden om ledelsesansvar ved en nis2-overtrædelse.

Grundlag i direktivet og national lovgivning

De forpligtelser som der holdes tilsyn med, kommer fra artikel 21 i NIS2-direktivet, som fastlægger sikkerhedsforpligtelsen med de ti foranstaltninger, og fra anmeldelsespligten som står for sig selv; Cybersikkerhedsloven implementerer disse forpligtelser i dansk ret og regulerer samtidigt tilsynsmyndighedens beføjelser. Den præcise udformning af tilsyn og sanktioner følger af denne nationale lov og af publikationer fra tilsynsmyndighederne selv, herunder NCSC.