NIS2 compliance i Microsoft 365
Risikostyring, hændelser, leverandører, politikker og ledelsesrapportering samlet et sted i SharePoint – så I kan dokumentere NIS2-kravene over for myndigheder, kunder og egen ledelse.
Hændelsen opdages
Registreres og klassificeres
Tidlig varsling
Første besked til myndighederne
Hændelsesunderretning
Vurdering af alvor og påvirkning
Endelig rapport
Årsag, tiltag og konsekvenser
NIS2 er EU's direktiv om cybersikkerhed, og i Danmark gælder NIS2-loven fra 1. juli 2025. Loven omfatter mellemstore og store virksomheder i en række kritiske sektorer. De skal styre cyberrisici, indføre sikkerhedsforanstaltninger, indberette væsentlige hændelser inden for faste frister – og ledelsen har et direkte ansvar. NIS2 er ikke en certificering, men et lovkrav – NIS2 compliance handler derfor om at kunne dokumentere arbejdet.
Selvtjek · 3 spørgsmål
Er jeres virksomhed omfattet af NIS2?
Det er det første spørgsmål, de fleste stiller. Svar på tre spørgsmål og få en vejledende vurdering.
Også virksomheder, der ikke selv er omfattet, mærker NIS2: Omfattede kunder skal stille sikkerhedskrav til deres leverandører.
Kravene
NIS2 krav: 10 områder, I skal kunne dokumentere
Direktivets artikel 21 fastlægger de sikkerhedsforanstaltninger, omfattede virksomheder skal have. Under hvert område står, hvor det ligger i systemet.
Risikoanalyse og politikker
Politikker for risikoanalyse og informationssikkerhed.
RisikoregisterHændelseshåndtering
Opdagelse, håndtering og indberetning af hændelser.
HændelseslogForretningskontinuitet
Backup, genopretning og krisestyring.
BeredskabsplanerForsyningskædesikkerhed
Sikkerhed hos leverandører og tjenesteudbydere.
LeverandørvurderingSikker anskaffelse og drift
Sikkerhed i indkøb, udvikling og vedligehold – også sårbarheder.
ÆndringslogMåling af effekt
Politikker og procedurer for at vurdere, om tiltagene virker.
Audit og KPI'erCyberhygiejne og træning
Grundlæggende praksis og uddannelse af medarbejdere.
Awareness-logKryptografi
Politikker for brug af kryptering.
PolitikkerPersonale, adgang og aktiver
HR-sikkerhed, adgangsstyring og styring af aktiver.
Aktivliste og adgangsreviewMFA og sikker kommunikation
Multifaktor-godkendelse og sikre kommunikationskanaler.
Kontrol-statusLedelsesansvar
NIS2 lægger ansvaret hos ledelsen
Cybersikkerhed er ikke kun IT-afdelingens opgave. Loven stiller direkte krav til virksomhedens ledelse.
Ledelsen skal godkende foranstaltningerne til styring af cybersikkerhedsrisici.
Ledelsen skal følge med i, at foranstaltningerne gennemføres – og kan holdes ansvarlig.
Medlemmer af ledelsen skal deltage i uddannelse i cybersikkerhed.
I systemet får ledelsen et samlet overblik over risici, hændelser og status på tiltag – og godkendelser og uddannelse dokumenteres.
NIS2 og ISO 27001
Har I ISO 27001, er I godt på vej
NIS2 kræver ikke ISO 27001. Men standarden dækker en stor del af det samme arbejde: risikostyring, kontroller, hændelser, leverandører og ledelsens ansvar. Mange bruger derfor ISO 27001 som ramme for NIS2.
Det, NIS2 tilføjer, er især de faste frister for indberetning, registrering hos myndighederne og det skærpede ledelsesansvar.
| NIS2 | ISO 27001 | |
|---|---|---|
| Type | Lovkrav | Frivillig standard |
| Certificering | Nej – tilsyn fra myndigheder | Ja – akkrediteret certificeringsorgan |
| Indberetning | 24 t / 72 t / 1 måned | Intern hændelsesstyring |
| Ledelse | Godkender, fører tilsyn, uddannes | Ejer ISMS'et |
Løsningen
Sådan dokumenterer I NIS2 compliance i SharePoint
Systemet bygger på BMF Systems – vores ledelsessystem i SharePoint. Læs mere om NIS2 hos BMF.
Hændelseslog med NIS2-frister
Medarbejdere registrerer hændelser fra Teams eller mobil. Hver hændelse får klassificering, ansvarlig og tidsstempler, så 24- og 72-timersfristerne kan følges.
Risikoregister
Risici vurderet før og efter tiltag, med ejer og plan for behandling.
SharePoint-listerLeverandørstyring
Vurdering af leverandørers sikkerhed med kriterier og opfølgning.
SharePointPolitikker og procedurer
Versionering, godkendelse og læsekvittering.
Power AutomateAwareness og ledelsesuddannelse
Dokumentation af træning for medarbejdere og ledelse.
SharePoint · TeamsLedelsesrapportering
Status på risici, hændelser og tiltag samlet til ledelsens godkendelse og tilsyn.
Power BIForløbet
Sådan kommer I i gang med NIS2 compliance
NIS2 GAP-analyse
Er I omfattet, og hvad mangler i forhold til kravene?
System i SharePoint
Risikoregister, hændelseslog, leverandører og politikker sættes op.
Ledelse og medarbejdere
Roller, godkendelser og uddannelse på plads.
Drift og opfølgning
Løbende risikovurdering, test af beredskab og rapportering.
OnePoint hjælper med system og opbygning – ikke juridisk rådgivning. Vejledning om loven findes hos Styrelsen for Samfundssikkerhed.
Integreret ledelsessystem
Et system til flere standarder
NIS2-arbejdet kan køre i samme løsning som jeres ISO-standarder – med fælles dokumentstyring, audits og ledelsens evaluering.
FAQ
Ofte stillede spørgsmål om NIS2
Hvad er NIS2?
NIS2 er EU's direktiv om et højt fælles cybersikkerhedsniveau. Det stiller krav til risikostyring, sikkerhedsforanstaltninger, indberetning af hændelser og ledelsens ansvar i virksomheder og myndigheder i kritiske sektorer. I Danmark er direktivet gennemført med NIS2-loven.
Hvornår trådte NIS2-loven i kraft i Danmark?
NIS2-loven trådte i kraft 1. juli 2025. Omfattede virksomheder skulle registrere sig hos myndighederne via virk.dk senest 1. oktober 2025, og kravet om at indberette væsentlige hændelser gælder fra lovens ikrafttræden.
Er vores virksomhed omfattet af NIS2?
Typisk er I omfattet, hvis I er en mellemstor eller stor virksomhed – som udgangspunkt mindst 50 ansatte eller over 10 mio. euro i årlig omsætning og balance – inden for en af de sektorer, loven nævner. Det gælder bl.a. energi, transport, sundhed, vand, digital infrastruktur, finans, fødevarer, kemikalier, affald og produktion af fx maskiner, elektronik og medicinsk udstyr. Nogle virksomheder er omfattet uanset størrelse.
Hvad er forskellen på væsentlige og vigtige enheder?
Væsentlige enheder er typisk store virksomheder i de højkritiske sektorer. De er under løbende tilsyn. Vigtige enheder er øvrige omfattede virksomheder, som primært følges op ved konkrete hændelser eller oplysninger. Kravene til sikkerhedsforanstaltninger er de samme, men tilsyn og bødeniveau er forskellige.
Hvad skal vi indberette – og hvornår?
Væsentlige hændelser skal indberettes i tre trin: en tidlig varsling inden 24 timer, en hændelsesunderretning inden 72 timer og en endelig rapport senest en måned efter. I Danmark sker indberetningen via virk.dk. Se Styrelsen for Samfundssikkerhed for vejledning.
Hvilke bøder kan man få efter NIS2?
Direktivet fastsætter bøder på op til 10 mio. euro eller 2 % af den globale årsomsætning for væsentlige enheder og op til 7 mio. euro eller 1,4 % for vigtige enheder – det højeste beløb gælder.
Hvad betyder ledelsesansvaret i NIS2?
Ledelsen skal godkende virksomhedens foranstaltninger til styring af cybersikkerhedsrisici, føre tilsyn med, at de gennemføres, og deltage i uddannelse. Ledelsen kan holdes ansvarlig, hvis kravene ikke overholdes.
Er vi omfattet, hvis vi kun er leverandør til en NIS2-virksomhed?
Ikke nødvendigvis direkte. Men omfattede virksomheder skal sikre deres forsyningskæde og vil derfor stille krav til leverandører i kontrakter – fx om adgangsstyring, hændelseshåndtering og dokumentation.
Kræver NIS2 en ISO 27001-certificering?
Nej. NIS2 kræver ikke ISO 27001. Men standarden dækker en stor del af de samme krav, og mange bruger den som ramme for NIS2-arbejdet. Læs mere om ISO 27001 i Microsoft 365.
Kan NIS2-dokumentationen ligge i SharePoint?
Ja. Risikoregister, hændelseslog, leverandørvurderinger, politikker og ledelsesrapportering kan samles i jeres eget Microsoft 365-miljø, hvor I allerede styrer adgang og sikkerhed.
Næste skridt
Hvor langt er I med NIS2?
Få en uforpligtende gennemgang af jeres risikostyring, hændelseshåndtering og dokumentation – og en konkret plan for det, der mangler.
Senest opdateret: oktober 2026
