NIS2: Tysklands henstandsperiode udløber

Henstandsperioden udløber 31. juli 2026

Tysklands lov om gennemførelse af NIS2 – NIS2UmsuCG – har været i kraft siden december 2025 uden overgangsperiode. Berørte enheder skulle registrere sig hos BSI, Tysklands føderale myndighed for cybersikkerhed, inden for tre måneder; den frist udløb 6. marts 2026. Resultatet var nedslående: af anslået 29.500 berørte virksomheder i Tyskland havde kun omkring 11.500 registreret sig inden fristen.

BSI har siden gjort det klart, at den forventer de udestående registreringer senest 31. juli 2026. Denne henstandsperiode er en mulighed, ikke et frikort: registreringspligten har eksisteret siden marts, og en overtrædelse af den alene kan straffes med bøder på op til 500.000 euro.

• Loven har været i kraft siden december 2025, og registreringsfristen udløb 6. marts 2026
• Kun omkring en tredjedel af de berørte virksomheder registrerede sig rettidigt
• BSI forventer, at efternølerne registrerer sig senest 31. juli 2026

Hvem er berørt – og hvordan finder man ud af det

NIS2 skelner mellem væsentlige og vigtige enheder i 18 sektorer – fra energi, transport og sundhed til digital infrastruktur og fremstilling. Som tommelfingerregel kan virksomheder i disse sektorer med 50 eller flere medarbejdere eller mere end 10 mio. euro i årlig omsætning og balance være omfattet; nogle enheder er omfattet uanset størrelse. For internationale koncerner skal man være opmærksom på, at et tysk datterselskab kan være omfattet, selv om moderselskabet er reguleret andetsteds.

Forlad jer ikke på tommelfingerregler. BSI stiller et officielt NIS-2-omfattethedstjek (NIS-2-Betroffenheitsprüfung) til rådighed, som gør det muligt at fastlægge og dokumentere jeres klassificering på en struktureret måde. Denne vurdering er et ledelsesansvar – selv en dokumenteret konklusion om, at man “ikke er berørt”, bør opbevares sammen med begrundelsen.

Sådan foregår registreringen

Registreringen sker via BSI's indberetningsportal, MUK-portalen. Autentificering kræver et ELSTER-organisationscertifikat – legitimationen fra den tyske skatteforvaltning. Hvis jeres organisation ikke har et, så ansøg straks: udstedelsen tager typisk flere dage og bliver en flaskehals lige før fristerne.

Til selve registreringen skal stamdataene være klar: enhed og sektor, kontaktoplysninger for et kontaktpunkt, der kan nås, IP-adresseområder og de medlemsstater, hvor der leveres tjenester. Med god forberedelse er processen hurtigt overstået.

Efter registreringen begynder det egentlige arbejde

Loven kræver, at berørte enheder opretholder en solid pakke af risikostyringsforanstaltninger: fra risikoanalyse og hændelseshåndtering til backup, krisestyring og forsyningskædesikkerhed. Dertil kommer trinvise indberetningspligter for væsentlige hændelser – en første indberetning inden for 24 timer, en opfølgning inden for 72 timer og en endelig rapport efter én måned – samt personlige forpligtelser for ledelsen, som skal godkende og føre tilsyn med foranstaltningerne og modtage uddannelse.

For overtrædelser af disse forpligtelser går bøderammerne langt ud over sanktionen for manglende registrering: op til 10 mio. euro eller 2 procent af den globale årlige omsætning for væsentlige enheder og op til 7 mio. euro eller 1,4 procent for vigtige enheder.

• Risikostyring i overensstemmelse med det aktuelle tekniske niveau, herunder forsyningskæden
• Indberetningsprocesser, der faktisk kan håndtere frister på 24 timer
• Påviselig governance: ansvaret ligger hos ledelsen

Fra frist til struktur

Fristen i juli er en god anledning til at behandle NIS2 ikke som en blanket, der skal udfyldes, men som en strukturel opgave: krav, foranstaltninger, ejere og evidens hører permanent sammen – ikke i spredte regneark, der sorteres om før hver audit.

Det er præcis det, vi bygger Secani til: et workspace, hvor krav fra frameworks som NIS2 eller IT-Grundschutz++ er tilgængelige i struktureret form, og hvor implementering og evidens dokumenteres sporbart. Hvis I vil bruge henstandsperioden til mere end selve registreringen, så tal med os.