Cybersikkerhedsloven (NIS2): hvilke krav stilles til hosting og leverandører?

NIS 2-loven skærper cybersikkerhedskravene for mange danske virksomheder. Her er, hvad den betyder for din hosting, hvad der fortsat er dit ansvar, og de fejl, du bør undgå.

Kort svar

1Den danske NIS 2-lov (Lov nr. 434 af 6. maj 2025, «lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau») trådte i kraft den 1. juli 2025 og gennemfører NIS 2-direktivet.
2Loven gælder for offentlige og private enheder i de sektorer, der er nævnt i lovens bilag 1 og 2, typisk fra 50 ansatte eller 10 mio. euro i omsætning og balance; visse enheder er omfattet uanset størrelse.
3En omfattet enhed skal styre cyberrisici, herunder forsyningskædesikkerhed over for direkte leverandører som hostingudbyderen, og ledelsesorganet skal godkende foranstaltningerne og deltage i kurser.
4Væsentlige hændelser skal indberettes: tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og slutrapport senest 1 måned efter underretningen.
5Ansvaret følger enheden, ikke hostingudbyderen: at flytte en server til en anden leverandør flytter ikke pligterne.

Hvem er omfattet af NIS 2-loven?

Loven finder anvendelse på enheder, der er omfattet af bilag 1 og 2, blandt andet energi, transport, sundhed, digital infrastruktur og forvaltning af it-tjenester. Enhederne opdeles i væsentlige og vigtige enheder. Efter lovens § 4 og § 5 er en enhed i et bilag-1-område som udgangspunkt væsentlig fra 250 ansatte eller over 50 mio. euro i omsætning og over 43 mio. euro i balance, og vigtig fra 50 ansatte eller over 10 mio. euro i omsætning og balance.

Nogle enheder er omfattet uanset størrelse, for eksempel DNS-tjenesteudbydere og topdomæneadministratorer. Ifølge Digitaliseringsstyrelsens spørgsmål og svar bliver en virksomhed ikke omfattet blot fordi dens leverandør er det: omfattet-status afgøres af enhedens egen aktivitet. Om din virksomhed er omfattet, må du afklare med din rådgiver og med den sektoransvarlige myndighed.

Krav til risikostyring og leverandørkæden

Efter § 6 skal væsentlige og vigtige enheder træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger. Listen omfatter blandt andet risikoanalyse, håndtering af hændelser, driftskontinuitet med backupstyring og reetablering efter en katastrofe, forsyningskædesikkerhed, kryptering, adgangskontrol og multifaktorautentificering.

Forsyningskædesikkerhed betyder i praksis, at du kender og styrer sikkerheden hos dine direkte leverandører, herunder din hostingudbyder. Efter § 7 skal ledelsesorganet godkende foranstaltningerne, føre tilsyn med gennemførelsen og deltage i relevante kurser om styring af cybersikkerhedsrisici.

Registrering og indberetning af hændelser

Omfattede enheder skal registrere sig hos den relevante kompetente myndighed. Efter § 10 skal oplysningerne indgives senest 2 uger efter, at enheden bliver omfattet af loven; for udbydere af blandt andet cloudcomputing og datacentertjenester er fristen efter § 9 3 måneder. Ændringer skal meddeles senest 3 måneder efter.

Efter § 13 sker underretning om en væsentlig hændelse i trin: en tidlig varsling uden unødigt ophold og senest inden for 24 timer, en hændelsesunderretning inden for 72 timer med en første vurdering af alvor og indvirkning, og en slutrapport senest 1 måned efter underretningen. Overtrædelse af centrale pligter kan straffes med bøde efter § 32.

Digitaliseringsstyrelsen er ifølge SAMSIK sektoransvarlig myndighed for blandt andre udbydere af cloudcomputing, datacentertjenester og indholdsleveringsnetværk.

Tre danske eksempler

Et SaaS-firma i København

Kunder i regulerede sektorer sender spørgeskemaer om leverandørkæden. Firmaet skal kunne dokumentere, hvor systemerne hostes, hvem der har adgang, og hvordan en hændelse meldes videre.

En produktionsvirksomhed i Aarhus

Virksomheden vurderer, om den er omfattet af bilag 1 eller 2 og hvilken størrelseskategori den falder i. Først derefter kan den planlægge registrering, ledelsesgodkendelse og hændelsesprocedurer.

Et it-hus i Odense med mange kundeprojekter

Hosting hos en underleverandør ændrer ikke, at huset selv skal kunne levere oplysninger til sine kunder inden for tidsfristerne. Logs og kontaktpunkter aftales i kontrakten på forhånd.

Almindelige fejl

At tro, at hostingudbyderen «er NIS2-compliant på dine vegne»: pligterne ligger hos din enhed.
At opdage først under en hændelse, at man mangler de logs, der skal bruges til varslingen inden for 24 timer.
At glemme registreringen hos den kompetente myndighed, selv om virksomheden er omfattet.
At blande en leverandørs ISO 27001-tilpasning sammen med certificering af sin egen organisation.

Sådan hjælper 4hosting

Vores datacentre ligger i EU, i Frankfurt, ikke i Danmark. Vi indgår en databehandleraftale (GDPR art. 28) og arbejder i tilpasning til ISO 27001, uden certificering. DDoS-beskyttelse på L3/L4 er inkluderet.

Hver VPS-, dedikeret og GPU-plan samt cPanel-planer fra Advanced inkluderer månedlige timer til DevOps og CyberSecurity: serverhærdning, adgangs- og hemmelighedsstyring, backup, centraliserede logs og en plan for hændelseshåndtering. Migrering er gratis, og fakturering sker i EUR med moms vist separat.

Vi er ikke et certificeringsorgan: din enheds efterlevelse af cybersikkerhedsloven er dit ansvar sammen med din rådgiver.

Fortæl os om dit behov →

Ofte stillede spørgsmål

Skal min hostingudbyder indberette hændelser til myndighederne for mig?

Nej. Hvis din enhed er omfattet af NIS 2-loven, er det din enhed, der underretter om væsentlige hændelser. Hostingudbyderen kan levere tekniske oplysninger, og det bør aftales i kontrakten.

Må mine systemer ligge uden for Danmark?

NIS 2-loven kræver ikke placering i Danmark; den kræver risikostyring og styring af leverandører. For persondata gælder GDPR ved siden af.

Certificerer 4hosting, at jeg overholder cybersikkerhedsloven?

Nej. 4hosting leverer infrastruktur i EU samt DevOps- og CyberSecurity-timer. Om din enhed opfylder loven, afklarer du med din rådgiver og den relevante myndighed.