NIS2-lovforslaget fremsat

Regeringen har efter nogen tids forsinkelse fremsat det lovforslag, der skal implementere EU's NIS2-direktiv (Net- og Informationssikkerhedsdirektivet) i dansk lovgivning. Som vi tidligere har beskrevet forventes loven at træde i kraft den 1. juli 2025.

Udvidet anvendelsesområde og skærpede krav

NIS2-direktivet udvider rækkevidden af de nuværende cybersikkerhedskrav til at omfatte flere sektorer og organisationer, end dem NIS1-direktivet gjaldt for som fx energi og finans. I NIS2 gælder sektorer som sundhed, transport og digital infrastruktur mv. Også for danske myndigheder, virksomheder og uddannelses- og forskningsinstitutioner betyder det, at de skal implementere strengere sikkerhedsforanstaltninger og være forberedte på øget tilsyn.

Sektorspecifikke vejledninger og tilpasninger

For at sikre en ensartet implementering af NIS2 i Danmark bliver der udarbejdet sektorspecifikke vejledninger i samarbejde med relevante myndigheder og brancheorganisationer. Blandt aktørerne her er der Cybersikkerhedsrådet, hvor DKCERT er medlem, som inddraget i arbejdet med vejledningerne. De er ikke ubetydelige, fordi de skal præcisere, hvordan de enkelte sektorer skal overholde de nye krav, og forventes at dække områder som risikostyring, hændelseshåndtering og rapporteringsforpligtelser.

NIS2-loven vil i praksis variere fra sektor til sektor, fordi brancher er forskellige og har hver sine særegne cybersikkerhedsrisici. For eksempel vil finans- og energisektoren have særligt skærpede krav på grund af deres kritiske betydning for samfundet, mens mindre sektorer vil få tilpassede regler afhængigt af deres trusselsbillede og ressourcer.

Konsekvenser for uddannelses- og forskningssektoren

For uddannelses- og forskningsinstitutioner vil NIS2 have betydning. Universiteter og forskningsinstitutioner håndterer som bekendt store mængder følsomme data, herunder personoplysninger, forskningsresultater og patenter. De nye krav vil også indebære forbedret netværkssikkerhed, øget beredskab og tættere samarbejde med myndighederne om bl.a. rapportering af sikkerhedsbrud. 

Som bekendt er uddannelses- og forskningssektoren kendetegnet ved åben videndeling og internationalt samarbejde. Det er endnu uklart, om de kommende vejledninger vil tage særlige hensyn til dette.

NIS2-loven har været længe undervejs og er forsinket i forhold til den anbefalede tidslinje fra EU. Forsinkelserne skyldtes bl.a. etableringen af ministeriet for samfundssikkerhed og beredskab, hvis organisering først kom på plads her i starten af februar.