Kompetent myndighed kort fortalt

Hvad er en kompetent myndighed?

Rollen som kompetent myndighed (competent authority) indebærer at påse, at NIS2 overholdes, og at modtage underretninger. Hvilken myndighed der har rollen, kan variere fra land til land og fra sektor til sektor – direktivet pålægger hver medlemsstat at udpege en eller flere kompetente myndigheder. Begrebet beskriver altså en retlig funktion, ikke en bestemt institution. Hvilke institutioner der i Danmark udfylder funktionen, står under Nationale cybersikkerhedsmyndigheder.

Rollen er tildelt flere gange i Danmark

Danmark har ikke én kompetent myndighed, men flere. Styrelsen for Samfundssikkerhed koordinerer, mens tilsynet er fordelt sektorvis på Energistyrelsen, Trafikstyrelsen, Søfartsstyrelsen, Finanstilsynet, Sundhedsdatastyrelsen, Miljøstyrelsen, Digitaliseringsstyrelsen og Fødevarestyrelsen; på tele- og energiområdet gælder egne sektorlove. Derfor må en virksomhed først afklare, hvilken sektor den hører under – for det afgør, hvilken myndighed der er dens kompetente myndighed. Registrering og underretning sker via virk.dk og myndighederne arbejder sammen med det centrale kontaktpunkt og ENISA i EU. Hvor den kompetente myndighed står for tilsyn og håndhævelse, dækker det centrale kontaktpunkt den grænseoverskridende koordinering, og CSIRT står for den operative håndtering af hændelser, i Danmark Center for Cybersikkerhed (CFCS). I Danmark er de tre roller altså ikke samlet ét sted, men fordelt.

Hvilke beføjelser myndigheden har

• Modtager registreringer og underretninger
• Gennemfører tilsyn og revisioner
• Udsteder påbud – og overtrædelse straffes med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering.

Hvad det betyder for virksomheder

Den kompetente myndighed er både jeres kontakt og jeres kontrolinstans. Siden NIS 2-loven trådte i kraft den 1. juli 2025, skal omfattede virksomheder overholde underretningskæden – tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer og endelig rapport efter en måned. En ryddelig dokumentation af jeres foranstaltninger er den bedste måde at se et tilsyn roligt i møde på.

Et typisk forløb

Efter et datalæk hos et vandforsyningsselskab beder den kompetente myndighed for sektoren om at få forelagt risikoanalysen og de tekniske foranstaltninger, der er truffet. Fordi selskabet løbende har dokumenteret sit arbejde, kan det fremlægge materialet på få dage. Tilsynet ender med påbud i stedet for en straffesag – et eksempel på, hvordan holdbar dokumentation tager brodden af forløbet.

Læs mere: Styrelsen for Samfundssikkerhed – NIS2