Et brud anmeldes digitalt via en fælles indberetning på Virk, som sender anmeldelsen videre til Datatilsynet. Virks indgangsside nævner MitID som forudsætning. Blanketten er dynamisk, så spørgsmålene afhænger af jeres svar. Fire ting skal altid med efter art. 33, stk. 3, og I må gerne sende en ufuldstændig anmeldelse og supplere senere. Det vigtigste, I kan gøre, sker før bruddet: find ud af, hvem der må anmelde, og hvem der kan logge ind en lørdag. Denne artikel bygger på Datatilsynets anmeldelsesside og Virks indgangsside, læst den 5. november 2026. Selve blanketten ligger bag login og er ikke gengivet her.
Vejen til blanketten
Gå ind via Datatilsynets side om anmeldelse af sikkerhedsbrud, der altid har det aktuelle link. Virks side hører under Styrelsen for Samfundssikkerhed og samler indberetning af sikkerhedshændelser til flere myndigheder. De indledende spørgsmål afgør, hvem der skal have indberetningen. Virk skriver, at de fleste kun skal anmelde til Datatilsynet.
Rammer hændelsen også NIS2, kan det være praktisk at anmelde begge steder samtidig. Det er ledelsens spørgsmål og gennemgået under to underretninger ved samme hændelse. Finansielle virksomheder under DORA har en særlig skabelon, som Virk henviser til.
Hav MitID klar. Hvilken adgang en medarbejder skal have for at indberette på virksomhedens vegne, siger de læste sider ikke noget om. Prøv det derfor af, før I får brug for det, og lad det ikke være én persons opgave.
De fire ting, der altid skal med
Art. 33, stk. 3, fastsætter mindstekravene:
- Hvad der er sket, herunder så vidt muligt kategorierne og det omtrentlige antal berørte personer og registreringer.
- Hvem Datatilsynet kan spørge, altså DPO’ens navn og kontaktdata eller et andet kontaktpunkt.
- De sandsynlige konsekvenser af bruddet.
- Det, I har gjort eller vil gøre ved bruddet, også for at begrænse skaden.
Datatilsynet beder om, at teksten kan forstås af en, der ikke kender jeres branche. Skriv derfor fagtermer ud, og beskriv systemet med almindelige ord. “CRM-løsningen blev kompromitteret” siger for lidt. “En angriber fik adgang til kundesystemet med navn, adresse og købshistorik på ca. så mange kunder” kan læses af en sagsbehandler. Oplys tallene som et skøn, når I ikke kender dem præcist.
Skriv ikke oplysninger om de berørte ind i blanketten, ud over det, der spørges om. Datatilsynet behøver ikke kundelisten. Det er kategorierne og antallet, der tæller.
Har I ingen DPO, angiver I et andet kontaktpunkt. Det er en person, der kan svare på tilsynets spørgsmål, og som er til at få fat i. Har I en ekstern DPO, så aftal på forhånd, om vedkommende står som kontakt. Rollen som kontakt betyder ikke, at DPO’en overtager sagen.
Når I ikke ved det hele
Fristen venter ikke på den fuldstændige historie. Art. 33, stk. 4, tillader, at oplysninger gives trinvis. Datatilsynets vejledning siger, at I skal lave en så fyldestgørende anmeldelse som muligt inden fristen og derefter sende resten uden yderligere forsinkelse.
Skriv tydeligt, hvad der er konstateret, og hvad der stadig undersøges. “Omfanget er under undersøgelse” er et brugbart svar i første omgang. En anmeldelse med huller er bedre end en sen anmeldelse. Hvornår fristen begynder, står i artiklen om de 72 timer. Bliver anmeldelsen sen, skal den have en begrundelse med.
Viser det sig bagefter, at der alligevel ikke var et brud, kan I altid meddele det til Datatilsynet.
Hvem der må anmelde
Pligten ligger hos den dataansvarlige. Datatilsynet anbefaler at udpege en eller flere medarbejdere med bemyndigelse. Det kan med fordel være en, der alligevel deltager i håndteringen af brud.
Andre kan anmelde på jeres vegne, fx databehandleren, en advokat eller en konsulent, hvis de har bemyndigelse, og for databehandleren nævner vejledningen en fuldmagt. Ansvaret, også for at det sker til tiden, bliver dog hos jer.
En ekstern DPO er først og fremmest rådgiver og kontaktpunkt. Vurder, om DPO’en overhovedet skal stå for indsendelsen, for rollen er at rådgive og overvåge, og den, der selv udfører, får svært ved at kontrollere bagefter. Det enkleste er, at en af jeres egne bemyndigede indsender, med DPO’en ved siden af.
Efter I har sendt
Download en kopi med det samme. Anmeldelsen går til Erhvervsstyrelsen, som sender den videre til Datatilsynet, og Erhvervsstyrelsen sletter anmeldelser efter 30 dage. Kopien er jeres bevis. Den hører til i brudloggen sammen med risikovurderingen.
Datatilsynet kan bede om flere oplysninger og kontakter jer, hvis det bliver aktuelt. Følger tilsynet op med et brev, står de første dage i Datatilsynet varsler tilsyn. Tilsynet fik 9.849 anmeldte brud i 2025, viser årsberetningen. Luk først sagen internt, når I har dokumenteret forløbet og det, I har ændret.
Det skal I lade være med
- At vente på alle fakta · resten kan sendes trinvis.
- At skrive navne på berørte i fritekstfelterne · kategorier og antal er nok.
- At gøre anmeldelsen afhængig af én person · bemyndigelsen skal have en afløser.
- At lukke vinduet uden en kopi · den er jeres bevis.
Det skal I kræve af den eksterne
- ☐ Rådgivning om anmeldelsens indhold, før den sendes.
- ☐ Afklaring af, hvem der er kontaktpunkt over for Datatilsynet.
- ☐ En liste over, hvad der skal kunne samles hurtigt til blanketten.
- ☐ Kontrol af, at bemyndigelser og afløsere er aftalt.
Kilder
- Datatilsynet: Anmeld sikkerhedsbrud: læst 5. november 2026.
- Virk: Indberetning af brud på sikkerhed: indgangssiden, læst 5. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 33, stk. 3 og 4.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 3.1, 3.3 til 3.6 og 6.4.
- Datatilsynets årsberetning 2025: antal anmeldte brud.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal bruddet anmeldes? · Brudloggen
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
