Vigtig enhed kort fortalt

Hvad er en vigtig enhed?

Vigtige enheder (engelsk important entities) findes i sektorer som post- og kurertjenester, affaldshåndtering, produktion af og handel med kemikalier, fødevarer og fremstillingsvirksomhed. De er fuldt ud omfattet af NIS2, men regnes for lidt mindre systemkritiske end væsentlige enheder. Kategorien er den anden af de to enhedsklasser og rammer særlig mange mellemstore virksomheder, som hidtil ikke har været underlagt sektorspecifik cybersikkerhedsregulering.

Hvilke sektorer hører med? (bilag II)

Kernen i de vigtige enheder er „andre kritiske sektorer“ i bilag II til NIS2-direktivet. Er I aktive her og over de relevante tærskler – som regel mellemstore virksomheder fra 50 ansatte eller 10 mio. EUR i omsætning – falder I typisk i denne klasse:

• Post- og kurertjenester
• Affaldshåndtering
• Produktion, fremstilling og handel med kemikalier
• Produktion, forarbejdning og distribution af fødevarer
• Fremstillingsvirksomhed / produktion af varer – for eksempel medicinsk udstyr, databehandlingsudstyr, elektronik, maskiner og motorkøretøjer
• Udbydere af digitale tjenester – onlinemarkedspladser, søgemaskiner og sociale netværk
• Forskningsinstitutioner

Samme pligter, andet tilsyn. Sektortilhørsforholdet afgør indplaceringen, ikke omfanget af sikkerhedstiltagene. En fødevareproducent fra bilag II skal træffe de samme tekniske og organisatoriske forholdsregler som en energileverandør fra bilag I – den bliver bare kontrolleret anledningsbestemt i stedet for på forhånd. De højkritiske sektorer i bilag I fører derimod som regel til indplacering som væsentlig enhed, hvor tilsynet er proaktivt. Sanktionsrammen er derimod den samme for begge klasser.

Samme pligter, andet tilsyn

De indholdsmæssige pligter – Risikostyring, Underretningspligt efter kæden 24 t / 72 t / 1 måned samt Governance varetaget af ledelsesorganet – er stort set de samme som for væsentlige enheder. Også registreringspligten via virk.dk og pligten til at uddanne ledelsen gælder uændret. Den centrale forskel ligger i tilsynet: vigtige enheder er underlagt reaktivt tilsyn , altså anledningsbestemt efter en hændelse eller ved konkrete tegn, og ikke proaktivt gennem rutinemæssige, varslede kontroller. Den kompetente myndighed – i Danmark den sektormyndighed, der fører tilsyn med jer – går altså først i gang, når der er et holdepunkt for en forsømmelse.

Sanktionen er den samme

NIS 2-loven knytter ikke en lavere sanktionsramme til vigtige enheder. Overtrædelse straffes med bøde. NIS 2-loven fastsætter ikke et maksimumsbeløb; bødens størrelse fastsættes af domstolene efter en konkret vurdering. Der er tale om en bødestraf, som domstolene idømmer, ikke om en administrativ bøde fra en myndighed. At tilsynet er reaktivt, gør altså ikke overtrædelsen mildere – og ledelsen er fortsat ansvarlig for tiltagene.

Undervurdér det ikke

„Vigtig“ betyder ikke „mindre forpligtet“. De tekniske og organisatoriske foranstaltninger skal gennemføres fuldt ud; det er kun kontrollens tæthed, der er mindre. Den reaktive tilgang forleder nogle virksomheder til at tro, at tiltagene kan udskydes, indtil nogen kontrollerer – men den, der først begynder på dokumentation, risikoanalyse og indarbejdede processer efter en sikkerhedshændelse, har allerede mistet beviset for rettidig omhu og risikerer bøde netop dér, hvor myndigheden ser nærmere efter i anledning af hændelsen.

Et eksempel gør det tydeligt. En affaldsvirksomhed med 90 ansatte indplacerer sig som vigtig enhed og får sin registrering på plads via virk.dk, selv om fristen den 1. oktober 2025 er passeret; registreringen kan stadig foretages. Virksomheden etablerer den samme risikoanalyse og den samme underretningsproces som en væsentlig enhed og dokumenterer sine tiltag omhyggeligt – men den regner ikke med uanmeldte audits, derimod med kontrol først, når der er en konkret anledning.

Næste skridt

Konkret bør vigtige enheder arbejde disse punkter igennem:

• Tjek indplaceringen: sammenhold sektor (bilag II) og størrelsesklasse – passer „vigtig“, eller er det snarere „væsentlig“?
• Få registreringen på plads: fristen den 1. oktober 2025 er passeret, men registreringen via virk.dk kan stadig foretages.
• Sæt risikostyringen op: indfør de tekniske og organisatoriske foranstaltninger, og dokumentér dem, så det holder til et tilsyn.
• Sæt underretningskæden op: fastlæg processerne for fristerne 24 timer / 72 timer / 1 måned.
• Inddrag ledelsen: gennemfør uddannelsen – ledelsesorganets ansvar består uændret.

Læs mere: Styrelsen for Samfundssikkerhed – NIS2