Væsentlig hændelse kort fortalt

Hvad er en væsentlig hændelse?

En væsentlig hændelse (significant incident) er en Hændelse, som har alvorlige konsekvenser – for eksempel længere udfald, større datalæk eller mange berørte brugere. Det er først denne alvor, der gør en hændelse underretningspligtig. Begrebet er dermed den tærskel, der afgør, om underretningskæden efter NIS2 udløses eller ej: en almindelig hændelse forbliver en intern sag, mens en væsentlig hændelse bliver en pligt over for myndighederne.

Hvornår er en hændelse „væsentlig“?

Afgørende er blandt andet forstyrrelsens varighed, antallet af berørte personer eller kunder, mulige økonomiske tab, læk af følsomme data og konsekvenser for andre enheder eller for forsyningen. Da NIS2 ikke fastsætter en fast pointscore, men overlader det til jeres enhed at vurdere væsentligheden ud fra omstændighederne, bør I oversætte disse faktorer til jeres egne, dokumenterede tærskler allerede før den første alvorlige situation – ellers går der værdifulde minutter tabt på interne diskussioner netop inden for den i forvejen korte frist på 24 timer.

Beslutningstjekliste: er hændelsen væsentlig?

Ét klart ja er som regel nok til at udløse underretningskæden. Er I i tvivl, så underret.

• Alvorlig driftsforstyrrelse? Central tjeneste nede i længere tid eller massivt påvirket → snarere ja. Kort forstyrrelse, som I selv har løst, uden virkning for kunderne → snarere nej.
• Væsentligt økonomisk tab? Mærkbart tab på omsætning, løsepenge eller genopretning for enheden → Ja. Ubetydelige omkostninger → nej.
• Er tredjeparter berørt? Kunder, leverandører, andre enheder eller forsyningen til offentligheden er berørt → Ja. Begrænset til noget rent internt → nej.
• Læk af følsomme data? Personoplysninger eller forretningskritiske data er lækket eller manipuleret → Ja. Ingen synlig adgang til data → nej.
• Mange berørte eller gentagelse? Mange brugere berørt eller et forsætligt eller gentaget angreb → Ja. Enkeltstående tilfælde uden bred virkning → nej.

Følge: underretningspligt

Foreligger der en væsentlig hændelse, gælder den tretrinnede Underretningspligt med Tidlig varsling (24 t), Hændelsesunderretning (72 t) og Endelig rapport (efter 1 måned). Den indtrufne hændelse skal holdes adskilt fra en betydelig cybertrussel, altså en fare, der endnu ikke har ført til skade.

To tilfælde, én tærskel

Scenarie: en netbutik opdager, at kundedata fra omkring 40.000 konti er lækket gennem en sårbarhed. Datalæk plus mange berørte – to klare ja på tjeklisten. Holdet indplacerer på få minutter hændelsen som væsentlig og starter underretningskæden. En kort belastningsspids i webshoppen dagen før lå derimod under enhver tærskel, ramte ingen kunder og blev blot logget internt. Samme målestok, to modsatte resultater.

Hvad skal I helt konkret gøre?

Så snart tjeklisten viser et ja, tæller hvert minut. Disse skridt hører med i forløbet:

• Dokumentér indplaceringen: notér kort tidspunktet for opdagelsen og det udslagsgivende kriterium – det dokumenterer senere, at vurderingen skete rettidigt.
• Send den tidlige varsling: underret inden for 24 timer via virk.dk (er I omfattet, men endnu ikke registreret, kan registreringen stadig foretages, selv om fristen den 1. oktober 2025 er passeret).
• Inddæm hændelsen: isolér de berørte systemer og sikr beviser, sideløbende med underretningen.
• Hold øje med fristerne: planlæg hændelsesunderretningen efter 72 timer og den endelige rapport efter en måned.
• Aktivér planen: sæt jeres hændelsesresponsplan i gang, så roller og eskalering virker med det samme.

Tøver I her, er der en sanktionsrisiko. Overtrædelse straffes med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering. Klare kriterier sparer netop den diskussionstid.

Læs mere: NIS2-direktivet (EU) 2022/2555, kriterier for væsentlige hændelser (artikel 23)