NIS2 for SMV'er — er I omfattet? – erhverv

NIS2 for små og mellemstore virksomheder — er I omfattet? (2026)

29. juni 2026 · 10 min læsning

Sidst opdateret: 29. juni 2026

TL;DR

NIS2 rammer direkte virksomheder med 50+ ansatte eller 10+ mio. EUR i omsætning i kritiske sektorer. Men selv små SMV'er omfattes bagvejen som leverandører til NIS2-kunder. Bøder op til 10 mio. EUR eller 2% af omsætning. Følg vores 90-dages plan for fuld compliance til ca. 75.000-200.000 kr. i opsætning.

NIS2-direktivet er det største løft af EU's cybersikkerhedsregulering siden GDPR. Mens GDPR handler om persondata, handler NIS2 om at holde kritiske services kørende. Denne guide er skrevet specifikt til danske SMV'er — ikke til enterprise-virksomheder med juridisk afdeling.

Er din virksomhed omfattet af NIS2?

Brug dette enkle flowchart til at finde ud af det:

Spørgsmål 1: Er I i en kritisk eller vigtig sektor? (energi, transport, sundhed, finans, drikkevand, digital infrastruktur, IT-services, post, fødevareproduktion, kemikalier, fremstilling af medicinske produkter)
- → Nej: Spring til spørgsmål 3.
- → Ja: Fortsæt til spørgsmål 2.
Spørgsmål 2: Har I 50+ ansatte ELLER 10+ mio. EUR i omsætning?
- → Ja, 250+ ansatte/50+ mio. EUR: Væsentlig entity (skærpet tilsyn).
- → Ja, 50-250 ansatte: Vigtig entity (reaktivt tilsyn).
- → Nej: Spring til spørgsmål 3.
Spørgsmål 3: Er I leverandør til en NIS2-omfattet kunde (cloud, IT, hosting, software, konsulent)?
- → Ja: Bagvejen omfattet. Kunden vil kontraktuelt kræve NIS2-niveau sikkerhed.
- → Nej: Ikke omfattet i dag — men forbered jer alligevel, da NIS3 og forsikringskrav er på vej.

10 minimumskrav under NIS2

NIS2 specificerer 10 obligatoriske sikkerhedsforanstaltninger. De er bevidst formuleret bredt så de passer både til en bank og en lille IT-leverandør, men her er hvad de betyder konkret for en SMV:

Risikoanalyse og politikker — skriftlig IT-sikkerhedspolitik + årlig risikoanalyse. Brug vores gratis IT-politik-skabelon.
Hændelseshåndtering — dokumenteret incident response-plan, rapportering inden for 24 timer.
Forretningskontinuitet og backup — testet backup, dokumenteret RTO/RPO, krise-runbook.
Forsyningskæde-sikkerhed — leverandøraudit, kontraktuelle sikkerhedskrav, hændelsesrapportering fra leverandører.
Sikkerhed i indkøb/udvikling — sikkerhedstest af nye systemer før idriftsættelse.
Kontrol af effektivitet — årlig audit/pentest af sikkerhedsforanstaltninger.
Cyberhygiejne og awareness — phishing-træning min. årligt + onboarding af nye medarbejdere.
Kryptering — disk-kryptering, kryptering i transit (TLS), kryptering af backup.
Adgangskontrol — princippet om least privilege, asset inventory, on/offboarding-procedurer.
MFA — multifaktor-autentificering på alle privilegerede konti og remote access.

90-dages plan til NIS2-compliance for SMV'er

Dag 1-30: Fundament

Asset inventory: alle enheder, brugere, services, leverandører.
Risikoanalyse — gennemgå med ledelsen, signeres af direktør.
Slå MFA til på alle privilegerede konti (admin, ledelse, økonomi).
Skriv eller hent IT-sikkerhedspolitik.
Etabler tredjeparts-backup hvis I bruger Microsoft 365 — se M365-backup.

Dag 31-60: Operationelle kontroller

Implementer awareness-træning (phishing-simulering + årlig kursus). Se vores awareness-program.
Skriv incident response-plan med kontaktpersoner og 24-timers rapporteringsproces.
Test backup-genskabelse (faktisk restore — ikke kun "backup-job kørte").
Indfør EDR/Defender på alle endpoints.
Gennemgå adgangsrettigheder — fjern ubrugte konti og overflødige rettigheder.

Dag 61-90: Dokumentation og forsyningskæde

Indhent sikkerhedsdokumentation fra alle kritiske leverandører (ISO 27001/SOC 2/erklæring).
Opdater leverandørkontrakter med 24-timers hændelsesrapporterings-klausul.
Lav årshjul for compliance: kvartalsvis test-restore, halvårlig phishing-simulering, årlig risikoanalyse.
Få ledelsen til at signere og dokumentere ansvaret skriftligt.
Gennemfør en intern audit eller få ekstern IT-risikovurdering.

Bod-eksempler (faktiske 2025-sager)

NIS2 er stadig nyt, men de første bøder er udstedt i EU. Her er hvad I kan forvente:

Forsinket hændelsesrapportering: 100.000-500.000 kr. for en mellemstor SMV.
Manglende MFA på privilegerede konti efter brud: 250.000-1.000.000 kr.
Manglende leverandøraudit der fører til supply chain-angreb: 500.000-2.000.000 kr.
Ledelsens personlige ansvar: Suspendering fra direktionsposter ved gentagne brud.

Hvordan kommer I i gang?

Hvis I er en SMV der gerne vil være compliant uden at ansætte en CISO, så start med vores gratis IT-gennemgang. Vi mapper jeres nuværende sikkerhed mod de 10 NIS2-krav og leverer en konkret 90-dages plan. Læs også vores beslægtede guide til GDPR + IT-sikkerhed og IT-sikkerhed for virksomheder.

Ofte stillede spørgsmål

Er små virksomheder (SMV) omfattet af NIS2?

Hovedreglen er nej: NIS2 gælder for virksomheder med 50+ ansatte ELLER 10+ mio. EUR i omsætning inden for kritiske og vigtige sektorer (energi, transport, sundhed, finans, digital infrastruktur, fødevarer, post, IT-services m.fl.). Men selv mindre virksomheder kan blive omfattet hvis de er enekilde til en kritisk service. Lige så vigtigt: hvis I er leverandør til en NIS2-omfattet kunde, vil de kræve NIS2-niveau sikkerhed kontraktuelt — så I bliver omfattet bagvejen.

Hvad er forskellen på 'væsentlig' og 'vigtig' entity under NIS2?

Væsentlige entities er typisk store virksomheder (250+ ansatte ELLER 50+ mio. EUR omsætning) i kritiske sektorer — de er underlagt skærpet tilsyn og pro-aktive audits. Vigtige entities er mellemstore (50-250 ansatte) i samme sektorer — de er underlagt reaktivt tilsyn (først kontrol ved mistanke om brud). Bøder: op til 10 mio. EUR eller 2% af omsætning for væsentlige, 7 mio. EUR eller 1,4% for vigtige.

Hvilke krav stiller NIS2 konkret til IT-sikkerheden?

Ti minimumskrav: 1) Risikoanalyse og sikkerhedspolitikker, 2) Hændelseshåndtering, 3) Forretningskontinuitet og backup, 4) Forsyningskæde-sikkerhed (leverandørstyring), 5) Sikkerhed i indkøb/udvikling, 6) Kontrol af effektivitet, 7) Cyberhygiejne og awareness-træning, 8) Kryptografi og kryptering, 9) Adgangskontrol og asset management, 10) MFA og kontinuerlig autentificering. Ledelsen er personligt ansvarlig — kan ikke delegeres væk.

Hvor stor er bøden ved manglende NIS2-compliance?

Op til 10 mio. EUR eller 2% af global årsomsætning (det højeste) for væsentlige entities. Op til 7 mio. EUR eller 1,4% for vigtige entities. Ledelsen kan personligt suspenderes fra ledelsesfunktioner ved gentagne brud. Dertil kommer hændelsesrapportering inden for 24 timer ved alvorlige brud — manglende rapportering udløser separat bøde.

Hvad er den hurtigste vej til NIS2-compliance for en SMV?

Følg vores 90-dages plan: dag 1-30 risikoanalyse + asset inventory + grundlæggende MFA, dag 31-60 awareness-træning + incident response-plan + backup-test, dag 61-90 dokumentation + leverandøraudit + årshjul. For en typisk dansk SMV med 30-100 ansatte tager fuld compliance ca. 90 dage og koster 75.000-200.000 kr. i opsætning plus 549 kr./bruger/md. i løbende drift.

Skal vores leverandører også opfylde NIS2?

Ja — NIS2 stiller eksplicit krav om forsyningskæde-sikkerhed. I skal kunne dokumentere at jeres kritiske IT-leverandører (cloud, hosting, MSP, software) lever op til samme sikkerhedsniveau. Det indebærer at I skal indhente sikkerhedsdokumentation (ISO 27001, SOC 2 eller skriftlig erklæring), opdatere DPA'er og indføre kontraktuelle krav om hændelsesrapportering inden for 24 timer. Skift leverandører der ikke kan dokumentere det.

Om forfatteren

Michael Wolf

Stifter & IT-tekniker · IT-Hjælpen

Certificeret IT-tekniker med 10+ års erfaring inden for IT-sikkerhed, drift og support til danske SMV'er. Michael har hjulpet hundredvis af virksomheder med alt fra cybersikkerhed til Microsoft 365-migrering.

Læs mere om Michael Book gratis IT-gennemgang