Vejledning

NIS2 og medarbejdertræning: hvad kræver loven?

Opdateret · 4 min. læsning

NIS2 er EU’s regler for cybersikkerhed i virksomheder, der leverer vigtige ydelser i samfundet. I Danmark er reglerne gennemført i cybersikkerhedsloven, som trådte i kraft 1. juli 2025. Loven stiller blandt andet krav om uddannelse – både af ledelsen og af medarbejderne. Her er en gennemgang uden jura-dansk.

Bemærk: Det her er en introduktion, ikke juridisk rådgivning. Om jeres virksomhed er omfattet, afhænger af sektor og størrelse. Tjek Center for Cybersikkerheds vejledning, eller spørg jeres rådgiver.

Er jeres virksomhed omfattet?

NIS2 gælder som hovedregel mellemstore og store virksomheder i en række sektorer – fx energi, transport, sundhed, digital infrastruktur, IT-tjenester, visse typer produktion, fødevarer og affald – og enkelte virksomheder uanset størrelse. Er I leverandør til en omfattet virksomhed, kan kravene blive stillet til jer i kontrakten, selvom I ikke selv er omfattet. Center for Cybersikkerhed har en vejledning om anvendelsesområdet, der hjælper med at vurdere det.

Hvad siger NIS2 om uddannelse?

  • Medarbejderne. Virksomheden skal gennemføre risikostyringsforanstaltninger, og en af dem er grundlæggende cyberhygiejne og cybersikkerhedsuddannelse (NIS2-direktivets artikel 21).
  • Ledelsen. Ledelsen skal godkende og føre tilsyn med foranstaltningerne og kan holdes ansvarlig for overtrædelser. Ledelsesmedlemmerne skal selv uddannes i cybersikkerhed, så de kan vurdere risici og konsekvenser (artikel 20).
  • Hvordan? Direktivet foreskriver ikke bestemte kurser, længde eller hyppighed. Uddannelsen skal stå mål med risikoen – og I skal kunne dokumentere den.

Den danske lov og myndighedernes vejledninger kan indeholde præciseringer, fx om hvad ”regelmæssigt” betyder, så tjek dem, før I fastlægger jeres indsats.

Sådan ser god medarbejdertræning ud i praksis

  1. Korte, regelmæssige forløb frem for ét årligt kursus, som alle har glemt om en måned.
  2. Træn i det, der faktisk rammer jer: phishing-mails, fakturasvindel og ændrede bankoplysninger, falske pakkebeskeder, falske login-sider og misbrug af MFA.
  3. Lær medarbejderne at rapportere, og gør det nemt og risikofrit. En medarbejder, der tør sige ”jeg har klikket”, sparer jer for timer.
  4. Træn ledelse og økonomi særskilt. De er mål for direktørsvindel og har adgang til betalinger.
  5. Brug virkelige eksempler – de typer mails, jeres medarbejdere faktisk modtager.
  6. Dokumentér. Hvem er blevet trænet i hvad og hvornår, hvilke hændelser har der været, og hvordan blev de håndteret? Ved et tilsyn er dokumentationen en del af beviset.

Hvor passer PhishGuard ind?

PhishGuard er ikke et NIS2-program og gør ikke i sig selv jeres virksomhed ”compliant”. Det er et praktisk værktøj til hverdagen: Hver gang en medarbejder bruger det, får vedkommende en forklaring på, hvorfor en mail er sikker eller mistænkelig – altså lærdom i det øjeblik, den er mest brugbar. Kunde-dashboardet viser, hvor mange mails der er blevet tjekket over tid, og hvilke farlige mails virksomheden har modtaget. Det kan være en del af jeres awareness-indsats ved siden af træning, politikker og procedurer.

Ofte stillede spørgsmål

Hvornår trådte NIS2 i kraft i Danmark?

Den danske lov om NIS2, cybersikkerhedsloven, trådte i kraft 1. juli 2025. Tjek altid den aktuelle lovtekst og Center for Cybersikkerheds vejledninger.

Kræver NIS2 et bestemt kursus?

Nej. Direktivet foreskriver ikke bestemte kurser, længde eller hyppighed. Uddannelsen skal stå mål med virksomhedens risici, og virksomheden skal kunne dokumentere den.

Er vi omfattet, hvis vi har under 50 ansatte?

Som hovedregel gælder reglerne mellemstore og store virksomheder, men nogle sektorer og leverandører er omfattet uanset størrelse. Tjek Center for Cybersikkerheds vejledning, eller spørg jeres rådgiver.

Læs også