Cybersikkerhed: Danmark (2026)
Danmark har et omfattende, gældende cybersikkerhedssystem: NIS2-loven (lov nr. 434/2025) og CER-loven trådte begge i kraft den 1. juli 2025, sammen med sektorspecifikke gennemførelsesbestemmelser for telekommunikation, energi og finans. Tilsynet er bevidst decentraliseret — hver sektors tilsynsmyndighed fungerer som kompetent myndighed, koordineret af SAMSIK (Det Danske Beredskabsagentur) under det nye Ministerium for Beredskab og Resiliens, mens CFCS driver det nationale CSIRT. Inden for finanssektoren har DORA været direkte gældende siden den 17. januar 2025 med Finanstilsynet som kompetent myndighed.
Primær ramme
Den danske NIS2-lov (lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau — »Cybersikkerhedsloven«), der gennemfører EU-direktiv 2022/2555; suppleret af sektorspecifikke love (telekommunikationslov nr. 435/2025 samt regler for energi og finans) og CER-loven (lov om kritiske enheders modstandsdygtighed); DORA (forordning (EU) 2022/2554) finder direkte anvendelse på finansielle enheder. Det overordnede tilsyn varetages af Det Danske Resiliensagentur (SAMSIK) under Ministeriet for Resiliens og Beredskab (oprettet den 29. august 2024); Center for Cybersikkerhed (CFCS, under Forsvarets Efterretningstjeneste) fungerer fortsat som det nationale CSIRT.
Hovedpunkter
Primærret (gennemførelse af NIS2)
Loven om foranstaltninger til sikring af et højt niveau af cybersikkerhed (lov nr. 434 af 6. maj 2025) trådte i kraft den 1. juli 2025 og pålægger »væsentlige« og »vigtige« enheder på tværs af de sektorer, der er opført i bilag I og II til NIS2, forpligtelser vedrørende risikostyring, ledelse og rapportering.
Sektorspecifik tilgang
Danmark har valgt en decentraliseret model: telekommunikation er omfattet af lov nr. 435 af 6. maj 2025 (Sikkerhed og beredskab i telekommunikationssektoren), mens energi og finans er omfattet af særlige sektorlove, og hvert ministeriums tilsynsmyndighed (f.eks. Finanstilsynet, Energistyrelsen) fungerer som kompetent myndighed i stedet for en enkelt national cybermyndighed.
Forpligtelser vedrørende indberetning af hændelser
Enhederne skal indsende en foreløbig advarsel senest 24 timer efter, at de er blevet opmærksomme på en væsentlig hændelse, en mere udførlig hændelsesanmeldelse senest 72 timer (fristerne løber sideløbende) og en endelig rapport senest en måned (eller en måned efter, at hændelsen er blevet håndteret). Rapporterne indsendes via den kompetente sektormyndighed; CFCS modtager dem i sin egenskab af CSIRT.
Tidsplan for registrering og håndhævelse
Enheder, der falder ind under den danske NIS2-lov, skulle registrere sig senest den 1. oktober 2025; manglende overholdelse af fristen udgør i sig selv en overtrædelse af lovgivningen. CFCS/SAMSIK har varslet revisioner af væsentlige enheder fra begyndelsen af 2026, og de danske sanktioner er især af strafferetlig karakter snarere end af administrativ karakter.
Finanssektoren — DORA
EU’s lov om digital driftssikkerhed (forordning (EU) 2022/2554) har været direkte gældende siden den 17. januar 2025 for banker, forsikringsselskaber, betalings- og e-pengeinstitutter, investeringsselskaber og CASP’er. Finanstilsynet er den eneste kompetente myndighed, formelt udpeget gennem en ændring af lov om finansiel virksomhed vedtaget den 2. maj 2024, og begyndte at forberede sine første DORA-inspektioner i 2025.
Kritisk infrastruktur — CER-loven
Den danske lov om kritiske enheders modstandsdygtighed (som gennemfører EU-direktiv 2022/2557) trådte ligeledes i kraft den 1. juli 2025 og omfatter 11 sektorer, herunder energi, transport, bankvæsen, sundhed, vand, digital infrastruktur, offentlig forvaltning, rumfart og fødevarer. Sektormyndighederne skal udpege kritiske enheder senest i juli 2026; disse enheder har derefter 9 måneder til at gennemføre en risikovurdering og 10 måneder til at gennemføre en modstandsdygtighedsplan.
Denne side er en oversættelse, der er udarbejdet af hensyn til brugervenligheden; den engelske version er den gældende, og denne side udgør ikke juridisk rådgivning.