Den 1. juli er den nye dato for implementeringen af NIS2 i dansk lovgivning

Mange forsinkelser og udskydelser

EU’s NIS2-direktiv træder i kraft den 17. oktober i hele Europa – undtagen i Danmark. Direktivet er centralt for at højne cybersikkerheden på tværs af EU, men Danmark er bagud med implementeringen. Forsvarsministeriet meddelte allerede den 5. februar 2024, at arbejdet med NIS2 tager længere tid end forventet. Lovforslaget var oprindeligt planlagt fremsat i første kvartal 2024, men den komplekse proces har nu resulteret i flere udsættelser.

Forsvarsminister Troels Lund Poulsen havde først forventet, at NIS2 kunne træde i kraft ved udgangen af 2024. Den dato blev dog rykket flere gange – først til januar 2025, dernæst til marts, og nu er den endelige implementering sat til 1. juli 2025.

Ønsker god dialog forud for implementeringen

Minister for Samfundssikkerhed og Beredskab, Torsten Schack Pedersen, kommenterer den seneste udskydelse med følgende udtalelse:

"Som jeg før har sagt, er cybersikkerhedsområdet simpelthen for vigtigt til, at vi haster noget igennem. Derfor vil vi i de kommende uger og måneder inddrage virksomheder, organisationer og øvrige relevante parter i drøftelser om det videre arbejde med implementeringen af NIS2-direktivet. Og vi vil fortsætte en god dialog i hele perioden frem til, at loven træder i kraft."

På den anden side udtrykker Ulrik Ledertoug, Director of Business Development & Services hos Orange Cyberdefense Danmark, frustration over forsinkelsen:

"Det er på alle måder en ærgerlig nyhed, at man først kan fremsætte den danske implementering af de nye cybersikkerhedsregler et år efter den oprindelige plan. Udskydelserne gavner hverken Danmark eller danske virksomheder."

Frygter udskydelse bliver en sovepude

Ledertoug understreger, at de gentagne udskydelser kan have alvorlige konsekvenser for cybersikkerheden i Danmark. Han advarer om, at forsinkelsen kan få virksomheder og organisationer til at nedprioritere cybersikkerheden i mellemtiden:
"Uanset hvordan man vender og drejer det, er udmeldingen fra Forsvarsministeriet tegn på nøleri, som vil blive en sovepude under cybersikkerheden i Danmark."

Han fremhæver desuden, at den øgede geopolitiske usikkerhed gør det endnu mere nødvendigt at styrke cybersikkerheden:

"Det er samfundskritisk, at vi styrker cybersikkerheden på grund af den ustabile geopolitiske situation i verden, som har øget cybertruslen markant. Men uden dansk NIS2-lovgivning frygter jeg, at direktioner og bestyrelser vil fokusere på andre områder, indtil de er forpligtet ved lov."

Vigtigheden af en simpel implementeringsmodel

En anden vigtig udfordring er den ofte komplekse implementering af EU-regulering i de enkelte lande. Ledertoug påpeger, at der er behov for en mere ensartet tilgang, hvis NIS2 skal fungere effektivt i Danmark og resten af Europa:

"Mit råd vil være, at man nu fokuserer på at udarbejde en simpel implementeringsmodel for NIS2. Meget regulering i både Danmark og Europa implementeres vidt forskelligt, hvilket gør det enormt kompliceret for virksomhederne at operere på tværs af sektorer og lande."

Denne udtalelse understreger behovet for en pragmatisk tilgang til implementeringen, hvor man tager højde for de praktiske konsekvenser for virksomheder og organisationer, der opererer internationalt.

Konsekvenserne for cybersikkerheden

Udskydelsen af NIS2 implementeringen kan få alvorlige følger for danske organisationer, der er afhængige af klare retningslinjer for at sikre deres systemer mod cybertrusler. Selvom mange virksomheder allerede arbejder med at øge deres cybersikkerhed, vil manglen på national lovgivning skabe usikkerhed omkring deres forpligtelser og krav.

Ulrik Ledertoug konkluderer: "Det er en alvorlig fejl, at vi ikke har en klar og struktureret implementering af NIS2 allerede. Den danske forsinkelse efterlader virksomheder i et lovgivningsmæssigt tomrum, hvilket svækker deres evne til at håndtere cybertrusler effektivt."

Formål med NIS2-direktivet:

Formålet med NIS2-direktivet er at styrke og ensarte cybersikkerheden på tværs af EU for virksomheder, offentlige organisationer og myndigheder, der beskæftiger sig områder, som karakteriseres som samfundskritiske. Direktivet stiller krav om cybersikkerhedsforanstaltninger, hændelsesrapportering og styrket tilsyn samt håndhævelse.

NIS2 omfatter bl.a. disse sektorer og industrier

• Energisektoren
• Transportsektoren
• Sundhedssektoren
• Den finansielle sektor
• Produktionsvirksomheder
• Vandforsyning, spildevand og affaldshåndtering
• Digital infrastruktur

Ønsker du mere information, rådgivning eller hjælp til at blive NIS2-compliant så kontakt Bo Drejer, GRC Manager, Orange Cyberdefense: bo.drejer@orangecyberdefense.com