spørgeskemaet spørger, om vi har rapporteret hændelser til en tilsynsmyndighed

Indberetningspligt gælder kun, hvis du selv er omfattet af NIS2

Dette spørgsmål er kun relevant, hvis din virksomhed selv er en NIS2-enhed — væsentlig eller vigtig. Hvis det ikke er tilfældet, er svaret normalt "ikke relevant", og du kan også notere det sådan med en kort forklaring på hvorfor. Hvis du er usikker på denne status, skal det først undersøges via eller virksomheden er omfattet af NIS2-direktivet — svaret på dette spørgsmål afhænger direkte heraf.

Hvis du er omfattet af NIS2, drejer spørgsmålet sig om, hvorvidt du faktisk har indberettet hændelser, som opfylder indberetningskriterierne, til CSIRT eller den kompetente tilsynsmyndighed inden for de fastsatte frister (første indberetning, delvis indberetning, slutrapport). Hvis du har gjort det, kan "ja" understøttes med indberetningsbekræftelsen eller hændelsesregisteret som dokumentation. Hvis du i den pågældende periode simpelthen ikke havde nogen indberetningspligtig hændelse, er "nej" det faktisk korrekte svar — det er ikke en mangel, og du må også præcisere dette i fritekstfeltet. Det bliver først problematisk, hvis der var en hændelse, der opfyldte kriterierne, og der ikke blev foretaget nogen indberetning; det er en kendsgerning, som dit dossier simpelthen skal afspejle, ikke noget man skal omformulere anderledes. Dette spørgsmål er i øvrigt forbundet med proceduren for håndtering af sikkerhedshændelser»: uden en fungerende procedure er der normalt heller ingen sikker indberetningsproces.

Hvor dette følger af: artikel 21, stk. 2, litra b og Cybersikkerhedsloven

Indberetningspligten selv står ikke i artikel 21, stk. 2 — den artikel beskriver de ti foranstaltninger, herunder under b hændelseshåndtering som en kontrolforanstaltning. Den faktiske indberetningspligt med frister er reguleret separat i direktivet og bliver implementeret til Danmark gennem Cybersikkerhedsloven, som træder i kraft den 15. august 2026. Indtil den dato gælder der ingen dansk lovbestemt indberetningspligt på grundlag af NIS2; hvad en kunde spørger om i en spørgeskema nu, er ofte en forhåndsindikation på denne forpligtelse eller et ISO 27001-spørgsmål om hændelsesregistrering i tillæg A.