NIS2-loven og dit ERP-system: krav til leverandører, adgang og beredskab

NIS2-loven – lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau – trådte i kraft den 1. juli 2025 og gennemfører EU's NIS 2-direktiv i Danmark. Den gælder primært mellemstore og store virksomheder i en række udpegede sektorer (fx energi, transport, sundhed, digital infrastruktur, fremstilling af visse produkter, fødevarer og affald) og visse virksomheder uanset størrelse. Omfattede virksomheder skulle registrere sig senest 1. oktober 2025 og skal blandt andet have risikostyring, sikkerhed i leverandørkæden og hændelsesrapportering. For ERP-valget betyder det, at du – hvis I er omfattet – skal kunne dokumentere, at leverandøren og systemet lever op til jeres sikkerhedskrav. Er I ikke omfattet, er kravene stadig en god tjekliste, fordi ERP-systemet indeholder virksomhedens mest forretningskritiske data. Bemærk, at tele, energi og finans er reguleret i særskilt sektorlovgivning, så her skal du se de regler, der gælder for din sektor.

Guiden hører under typiske fejl og officielle kilder. Generel information – tjek altid selv, om jeres virksomhed er omfattet. Se også GDPR og databehandleraftale.

Er din virksomhed omfattet?

Størrelsesgrænserne følger EU's definition af små og mellemstore virksomheder. De præcise regler og sektorlisten står i loven og i vejledningerne fra Styrelsen for Samfundssikkerhed, der koordinerer på tværs af sektorer. Sektormyndighederne fører tilsyn på deres områder.

Selv hvis I ikke er omfattet, kan en stor kunde kræve, at I som leverandør dokumenterer jeres it-sikkerhed. Så rammer kravene jer indirekte.

Hvad NIS2 betyder for ERP-valget

NIS2 kræver passende tekniske, operationelle og organisatoriske foranstaltninger. I praksis betyder det for ERP-systemet:

1. Leverandørstyring: vurdér leverandørens sikkerhedsniveau – fx certificeringer, revisionserklæringer og sikkerhedsbeskrivelser – og skriv krav ind i aftalen.
2. Adgangsstyring: stærk autentificering (flerfaktor) og rollebaserede rettigheder.
3. Backup og genskabelse: dokumenteret backup og testet genskabelse.
4. Logning: hvem har gjort hvad i systemet?
5. Hændelser: hvordan underretter leverandøren jer om sikkerhedshændelser, og hvor hurtigt? Omfattede virksomheder har selv frister for at underrette myndighederne.
6. Ledelsens ansvar: NIS2 lægger ansvar på ledelsen for at godkende og føre tilsyn med risikostyringen.

Spørgsmål til ERP-leverandøren

• Hvilke sikkerhedsstandarder eller revisionserklæringer kan I fremlægge?
• Understøtter systemet flerfaktorgodkendelse og single sign-on?
• Hvordan logges brugeraktivitet, og hvor længe gemmes loggen?
• Hvor hurtigt underretter I kunder ved en sikkerhedshændelse?
• Hvordan testes genskabelse fra backup?
• Hvilke underleverandører har adgang til systemet?

Leverandøren af cloud-tjenester kan selv være omfattet af NIS2. Det er en fordel for dig som kunde, men fritager dig ikke for selv at vurdere risikoen.

Illustrativt eksempel: omkostninger til sikkerhed

For en virksomhed, der er omfattet, er dette ikke valgfrit. For andre er det en forsikring: en ERP-nedetid på få dage kan koste mere end de samlede sikkerhedsudgifter. Læg beløbene i TCO-beregneren.

On-premise og NIS2

Driver I selv ERP-systemet, er I selv ansvarlige for opdateringer, sårbarhedshåndtering, netværkssikkerhed og backup. Det er ofte her, mindre virksomheder er sårbare. Se cloud eller on-premise.

Sanktioner

NIS2-loven giver tilsynsmyndighederne mulighed for påbud, og overtrædelser kan straffes med bøde (§ 32). Danmark bruger ikke administrative bøder: myndigheden kan politianmelde, og bøden fastsættes i strafferetsplejen, i sidste ende af domstolene (bemærkningerne til L 141 2024/25), og direktivet lægger op til høje bødeniveauer for omfattede virksomheder. Tjek de præcise regler i loven på retsinformation.dk og i myndighedernes vejledninger.

Første skridt for en SMV, uanset om I er omfattet

Hvis I er i tvivl om NIS2, eller hvis I ikke er omfattet, men vil gøre det rigtige ved et ERP-skift, kan disse skridt tages med det samme og koster primært tid:

1. Lav en liste over kritiske systemer – ERP, løn, bank, webshop – og hvem der er leverandør.
2. Slå flerfaktorgodkendelse til for alle brugere i ERP og e-mail.
3. Gennemgå rettighederne – fjern brugere, der er stoppet, og begræns administratorrettigheder.
4. Test en genskabelse af data, fx en kopi af et regnskabsår.
5. Skriv en kort beredskabsplan: hvem gør hvad, hvis ERP-systemet er nede i tre dage? Hvordan faktureres, og hvordan udbetales løn?
6. Saml leverandørdokumentationen i en mappe: databehandleraftale, sikkerhedsbeskrivelse, SLA.

Sikker Digital har vejledninger rettet mod små og mellemstore virksomheder.

Krav, I kan skrive ind i aftalen

Skriv blandt andet ind, at leverandøren skal underrette jer hurtigt ved sikkerhedshændelser, at der er flerfaktorgodkendelse, at backup testes, og at I kan få adgang til dokumentation for sikkerheden. Det gør det lettere at dokumentere leverandørstyringen.

Ofte stillede spørgsmål

Er en lille virksomhed med 10 ansatte omfattet af NIS2?

Som hovedregel ikke, medmindre den hører til de typer virksomheder, der er omfattet uanset størrelse. Men store kunder kan stille krav i kontrakterne.

Hvem skal vi kontakte for at få afklaret, om vi er omfattet?

Styrelsen for Samfundssikkerhed og den relevante sektormyndighed. Brancheorganisationer har også vejledninger.

Hjælper SMV:Digital med cybersikkerhed?

SMV:Digital har haft puljer med fokus på cybersikkerhed og digitalisering. Se tilskud via SMV:Digital og Erhvervshusene.

Skal ERP-leverandøren være NIS2-certificeret?

NIS2 indfører ikke en bestemt certificering. Det afgørende er, at I kan vurdere og dokumentere leverandørens sikkerhed, fx ud fra revisionserklæringer og sikkerhedsbeskrivelser.

Kilder

• Retsinformation – lov nr. 434 af 6. maj 2025 (NIS 2-loven)
• Styrelsen for Samfundssikkerhed – NIS2-vejledning og registrering
• Sikker Digital – it-sikkerhed for små og mellemstore virksomheder
• Datatilsynet – sikkerhedsbrud med personoplysninger
• Virk – digitale indberetninger