Har I arbejdet med GDPR i nogle år, er en del af grundlaget til NIS2 allerede lavet. Fortegnelsen, listen over databehandlere, brudproceduren og sikkerhedsforanstaltningerne kan alle bruges som udgangspunkt. De dækker bare for lidt. GDPR ser på de personer, oplysningerne handler om. NIS2-loven ser på sikkerheden i net- og informationssystemerne og på modtagerne af jeres tjenester. Alt det, der ikke rummer persondata, mangler derfor i jeres papirer. Her går vi fra den ene side af: hvad kan flyttes med, hvad mangler, og hvor DPO’en skal stoppe. Om I er omfattet, afgøres for sig, se er vi omfattet af NIS2?. Sikkerhedsledelsen selv hører til hos en CISO.
Vi læste NIS2-loven og Datatilsynets vejledning om brud 6. november 2026.
Det, I kan flytte med
Tabellen holder jeres GDPR-materiale op mod kravene i § 6, stk. 1, i NIS2-loven. Sammenligningen er vores, og loven henviser ikke selv til GDPR-dokumenterne.
- Fortegnelse og systemliste · NIS2-krav: Forvaltning af aktiver (nr. 9) · Det, der mangler: Systemer uden persondata, fx produktion og styring
- Databehandlere og tilsyn · NIS2-krav: Forsyningskædesikkerhed (nr. 4) · Det, der mangler: Leverandører, der ikke behandler persondata
- Brudprocedure og brudlog · NIS2-krav: Håndtering af hændelser (nr. 2) · Det, der mangler: Vurdering af væsentlig hændelse og tidlig varsling
- Risikovurdering for de registrerede · NIS2-krav: Politikker for risikoanalyse (nr. 1) · Det, der mangler: Konsekvensen for tjenester og kunder
- Foranstaltninger efter art. 32 · NIS2-krav: Fx backup (nr. 3), kryptering (nr. 8) og multifaktor (nr. 10) · Det, der mangler: Omfanget skal dække alle relevante systemer
- Awareness og GDPR-træning · NIS2-krav: Cybersikkerhedsuddannelse (nr. 7) · Det, der mangler: Andet indhold, og kurser til ledelsen
Fortegnelsen. Den fortæller, hvilke systemer der rummer oplysninger om personer. Maskiner, netudstyr og styringer, der holder driften i gang, står ofte ikke i den. Brug systemkolonnen som første version af listen over aktiver, og lad IT fylde resten på. Overblikket fra hvor ligger jeres persondata? kan genbruges her.
Leverandørlisten. En liste over databehandlere og tilsynene med dem er et godt fundament. Fiberleverandøren eller den, der servicerer anlæggene, kan have stor betydning for driften uden at være databehandler. Listen skal altså udvides, og hver leverandør skal vurderes ud fra driften.
Brudproceduren. Roller, kontaktlister og logføring kan bruges. Art. 33, stk. 5, har givet jer vanen med at skrive ned, og den er værd at beholde.
Risikovurderingen. Systemer, trusler og foranstaltninger kan deles, men konsekvensen skal vurderes hver for sig. Den pointe har sin egen artikel om én fælles vurdering, og personernes side står i risikovurdering for de registrerede.
Det, I skal lave nyt
Nogle krav har ingen parallel i GDPR-arbejdet.
- Ledelsens godkendelse. § 7 kræver ledelsesorganets godkendelse og tilsyn, og medlemmerne skal selv på kurser.
- Driftskontinuitet. Nr. 3 omfatter også reetablering efter en katastrofe og krisestyring. Art. 32 kræver genopretning af adgangen til personoplysninger, så jeres plan dækker måske kun en del af virksomheden.
- Effektivitet. Nr. 6 handler om at måle, om tiltagene virker. Art. 32, stk. 1, litra d, er beslægtet, så metoden kan genbruges, mens omfanget bliver større.
- Sikkerhed ved køb og udvikling. Nr. 5 dækker også håndtering af sårbarheder.
To frister, to vurderinger
Hændelser er det sted, hvor det er lettest at tro, at det gamle dækker. Efter GDPR går anmeldelsen til Datatilsynet uden unødig forsinkelse, og hvis det er muligt, senest 72 timer efter, at I blev bekendt med bruddet. Den kan undlades, når en risiko for personerne er usandsynlig. Efter NIS2-lovens §§ 12 og 13 underretter I om væsentlige hændelser, først med en tidlig varsling senest 24 timer efter, at I har fået kendskab til hændelsen, og derefter med en hændelsesunderretning inden for 72 timer. Ens tal dækker altså over to vurderinger, og hver af dem har sin modtager. Efter § 15 kan I desuden skulle underrette modtagerne af jeres tjenester.
Datatilsynet skriver i vejledningen om brud, at NIS2-fristen som udgangspunkt ikke rykker ved fristen til tilsynet. Tilsynet tilføjer, at en samtidig anmeldelse kan være praktisk, bl.a. i blanketten på virk.dk. Datatilsynet modtager brud efter GDPR, og NIS2-hændelser går til den relevante myndighed og CSIRT. Sådan hænger de sammen i praksis: én hændelse, to underretninger.
Tilføj derfor ét felt til jeres procedure ved brud, hvis I er omfattet: er det også en væsentlig hændelse? Og sæt et navn på den, der vurderer det.
Hvor DPO’en skal stoppe
Det er fristende at give NIS2 til den, der allerede har GDPR. DPO’en kan rådgive om persondata og pege på, hvad der kan genbruges. Art. 38, stk. 6, kræver dog, at andre opgaver ikke medfører en interessekonflikt. Datatilsynets side siger, at en DPO ikke må sidde med opgaver, hvor de skal bestemme, hvordan personoplysninger behandles, fx som it-chef, HR-chef eller juridisk chef. Den, der beslutter sikkerhedsforanstaltninger og systemer, kan komme til at vurdere egne beslutninger.
Skal samme person have begge roller, er det en kombi-stilling, og den skal stå tydeligt som det. Rollen på sikkerhedssiden skal være rådgivende, ledelsen skal vurdere den konkret, og den er ikke uden konflikt. Læs kravene i ekstern CISO og DPO i samme person, før I beslutter noget.
Sådan kommer I i gang
- Afklar, om I er omfattet. Skriv vurderingen ned.
- Saml materialet. Fortegnelse, leverandørliste, brudprocedure og foranstaltninger lægges ét sted.
- Udfyld tabellen. Hvilke systemer og leverandører mangler, når persondata ikke er kriteriet?
- Giv opgaven en ejer. Datatilsynets krav og NIS2-arbejdet bør have hver sin navngivne person eller en klar fordeling.
Har I endnu ikke selv overblikket over GDPR-delen, så begynd med GDPR-gennemgangen. Er spørgsmålet, hvem der skal holde fast i persondata, når sikkerheden får mere plads, så se vælg en ekstern DPO.
Det skal I lade være med
- At antage, at GDPR-arbejdet dækker NIS2 · alt uden persondata står uden for.
- At lægge NIS2 hos DPO’en uden at vurdere det · rollen må ikke vurdere egne beslutninger.
- At føre to adskilte leverandørlister · brug samme liste med to vurderinger.
Det skal I kræve af den eksterne
- ☐ En ærlig vurdering af, hvad der kan genbruges.
- ☐ Klar grænse mellem rådgivning om persondata og ledelse af sikkerheden.
- ☐ Tydelig betegnelse som kombi-stilling, hvis det er aktuelt.
- ☐ Tilføjelse til brudproceduren, der er afstemt med den, der ejer NIS2.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, § 7 og §§ 12, 13 og 15. Læst 6. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 32, art. 33 og art. 38, stk. 6.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 6.4 om NIS2.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): uafhængighed og interessekonflikter, læst 6. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Procedure ved brud · Risikovurdering for de registrerede
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
