- Betydning
- Afsluttende rapport efter en hændelse
- Frist
- Inden for en måned
- Indhold
- Årsag, konsekvenser og iværksatte tiltag
- Trin
- Tredje og sidste trin
- Opdateret
- juni 2026
- Redaktion
- Compliance Compass
Hvad er den endelige rapport?
Den endelige rapport (final report) er tredje og sidste trin i det, NIS2 kalderUnderretningspligt. Mens den tidlige varsling og hændelsesunderretningen under stort tidspres giver et første billede af situationen, samler den endelige rapport efter oparbejdningen op på, hvad der faktisk skete, hvilke konsekvenser der opstod, og hvilke tiltag der blev sat i værk. Den er dermed den forpligtende slutdokumentation over for den kompetente myndighed.
Hvad rapporten skal indeholde
- Detaljeret beskrivelse af hændelsen og dens årsag (root cause)
- Konsekvensernes art og omfang – for eksempel berørte tjenester, datamængder og antal brugere
- Iværksatte og planlagte modforanstaltninger, herunder tiltag, der skal forebygge gentagelse
- Hvis det er relevant: grænseoverskridende konsekvenser for andre medlemsstater
Placering i underretningskæden
Den følger efter Tidlig varsling (24 t) og Hændelsesunderretning (72 t) og skal sendes via virk.dk senest en måned efter hændelsesunderretningen. Varer en væsentlig hændelse ved ud over den måned, skal I først sende en statusrapport om, hvor langt behandlingen er nået; den endelige rapport følger, så snart hændelsen er fuldt behandlet.
I praksis
Efter et ransomwareangreb brugte en hospitalsdrift tre uger på forensisk analyse og genopretning. I den endelige rapport lægger den åbent frem, at den første adgang skete gennem en VPN-sårbarhed, der ikke var patchet, at akutberedskabet var begrænset i 14 timer, og at der fremover indføres multifaktorgodkendelse og en strammere patchhåndtering. Dermed overholder den ikke bare fristen, men giver også myndigheden viden, som andre enheder kan bruge.
Mere end en pligt, der skal opfyldes
En god endelig rapport er også værdifuld internt: de dokumenterede erfaringer indgår i forbedringen af Kontroller og Hændelsesrespons og styrker jeres dokumentation over for tilsynet og ledelsen. Overtrædelse straffes med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering.
Læs mere: NIS2-direktivet (EU) 2022/2555, endelig rapport efter artikel 23, stk. 4
Ofte stillede spørgsmål
Hvad er den endelige rapport efter NIS2?
Den endelige rapport er tredje og sidste trin i den tretrinnede underretningspligt, NIS2 stiller op for væsentlige hændelser. Når hændelsen er færdigbehandlet, dokumenterer rapporten dens årsag (root cause), konsekvensernes art og omfang samt de modforanstaltninger, der er iværksat og planlagt. Dermed er den endelige rapport den forpligtende slutdokumentation over for den kompetente myndighed, og den giver myndigheden brugbar viden om hændelsen, som også andre enheder kan få gavn af.
Hvilken frist gælder for den endelige rapport?
Den endelige rapport skal sendes senest en måned efter hændelsesunderretningen, via virk.dk til den myndighed, der fører tilsyn med jeres sektor. Den er sidste trin i underretningskæden, som begynder med en tidlig varsling inden for 24 timer, fortsætter med hændelsesunderretningen inden for 72 timer og slutter efter en måned med den endelige rapport. NIS 2-loven har været i kraft siden den 1. juli 2025, og fristerne har været bindende siden da.
Hvad gælder, hvis hændelsen varer længere end en måned?
Varer en væsentlig hændelse ved ud over den måned, der løber fra hændelsesunderretningen, skal I i stedet for den endelige rapport først sende en statusrapport om, hvor langt behandlingen er nået. Selve den endelige rapport følger først, når hændelsen er fuldt og endeligt behandlet. På den måde er den kompetente myndighed orienteret om fremdriften hele vejen, uden at den faste månedsfrist fremtvinger en for tidlig slutrapport.