hvad er cybersikkerhedsloven, og hvad ændrer sig

Cybersikkerhedsloven implementerer NIS2 i dansk ret

Cybersikkerhedsloven er den danske lov, der implementerer det europæiske NIS2-direktiv til nationale regler. NIS2 er et europæisk direktiv, og et direktiv fungerer ikke automatisk i hver land — der kræves national lovgivning hertil. I Danmark er det Cybersikkerhedsloven, som findes på Retsinformation. I store træk følger loven direktivet: de samme sektorer, den samme opdeling i vigtige og betydelige enheder, og samme kerne af forpligtelser. Hvem ønsker at vide, om hans sektor falder under bilagene, finder der oversigten, der ligger til grund for denne lov.

Det, der ændrer sig for organisationer, der falder under loven, er især omfanget af forpligtelserne. Der kommer en risikostyringspligt: træffe passende foranstaltninger for at sikre egne digitale systemer. Der kommer en anmeldelsespligt til tilsynsmyndigheden. Og der kommer en indberetningspligt ved hændelser, med spørgsmålet om hvornår og til hvem der skal indberettes. For organisationer, der ikke selv falder under loven, ændrer der sig indirekte også noget: forpligtede organisationer skal vurdere deres leverandører, og det betyder, at ikke-forpligtede virksomheder også kan modtage spørgeskemaer og kontraktuelle krav. Hvem undrer sig over hvorfor disse spørgsmål alligevel kommer ind, læser der, hvordan denne gennemslag gennem leverandørkæden fungerer.

Hvor dette stammer fra: implementeringen af artikel 21 og 23

Forpligtelserne i Cybersikkerhedsloven følger direkte fra NIS2-direktivet: artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner de ti foranstaltninger, der udgør grundlaget for risikostyringspligten, og indberetningspligten er ligeledes fastsat i direktivet. Den danske lov udfylder disse krav i nationale bestemmelser, som kan rådflydes på Retsinformation. NCSC giver vejledning om, hvordan risikostyringspligten og indberetningspligten udfyldes i praksis.