Hvorfor denne lov rammer bredere end du tror
NIS2-gennemførelsesloven har vaeret gaeldende i Tyskland siden december 2025, og den berører ikke kun kraftvaerker og banker. Den omfatter omkring 29.500 virksomheder pa tvaers af 18 sektorer, fra logistik og fødevareproduktion til maskinbyggeri, affaldshåndtering og digitale tjenester. Taersklen er lav. En virksomhed med 50 eller flere ansatte, eller 10 millioner euro i omsaetning, i en af disse sektorer er som udgangspunkt omfattet.
De fleste ejere i Mittelstand har aldrig taenkt pa deres forretning som kritisk infrastruktur. Loven beder ikke om det selvbillede. Den ser pa sektoren og størrelsen, klassificerer dig som en vigtig eller en saerligt vigtig enhed og tilknytter bindende sikkerhedsforpligtelser, der ikke fandtes for et ar siden.
Pligten der lander pa ejeren personligt
Den skarpeste aendring er, hvem der baerer pligten. Under den nye tyske lov skal ledelsesorganet godkende foranstaltningerne til cybersikkerhedsrisiko og overvage, at de rent faktisk er pa plads. Dette er ikke en opgave, du kan overdrage til en it-leverandør og glemme. Hvor ledelsen handler med grov uagtsomhed eller forsaet, tillader loven bøder mod de enkelte personer og, i alvorlige tilfaelde, et midlertidigt forbud mod at bestride en ledelsesrolle.
For en ejerledet virksomhed er det dette, der betyder noget. Den person, der underskriver for firmaet, underskriver nu for dets cyberberedskab. En ren outsourcingkontrakt flytter ikke ansvaret vaek fra bestyrelsen. Den aendrer kun, hvem du ringer til, nar noget gar galt, og pa det tidspunkt er pligten allerede blevet afprøvet.
Registreringslisten som ingen fortalte dig om
Det er ikke nok i sig selv at vaere godt forsvaret. Berørte virksomheder skal registrere sig hos Forbundskontoret for Informationssikkerhed, BSI, og identificere sig selv. Den lovbestemte frist var marts 2026, og pa den dato havde kun omkring 11.500 af de cirka 29.500 firmaer gjort det. Mere end halvdelen manglede pa listen.
BSI har fastsat en endelig forlaengelse til den 31. juli 2026 og har signaleret, at det vil undersøge de første sanktioner efter denne sommer. Manglende registrering er i sig selv en bødebelagt overtraedelse, op til 500.000 euro, adskilt fra ethvert brud. Den stille risiko er ikke et cyberangreb. Det er at vaere en virksomhed, som tilsynsmyndigheden ikke kan finde pa en liste, den nu aktivt kontrollerer.
Hvad du skal saette i gang dette kvartal
Tre skridt baerer det meste af vaegten. Bekraeft, om din virksomhed er omfattet, for testen af sektor og størrelse er mekanisk og let at fejllaese. Registrer dig hos BSI inden fristen i juli, hvis du er omfattet. Laeg derefter en dokumenteret risikostyringsproces frem for dit ledelsesorgan, sa pligten til godkendelse og tilsyn opfyldes og registreres, ikke blot antages.
Intet af dette kraever en stor sikkerhedsafdeling. Det kraever en klar laesning af, hvor du star, dokumentation for at ledelsen har set pa risikoen, og en optegnelse, du kan fremvise, hvis tilsynsmyndigheden spørger. De virksomheder, der far problemer, bliver dem, der behandlede en national cybersikkerhedslov som en it-fodnote.
Læs videre: Din hardware er nu reguleret software · Er dit cyberforsvar klar til angreb i maskinhastighed?