Hvorfor denne lov rammer bredere, end du tror

NIS2-gennemførelsesloven har været gældende i Tyskland siden december 2025, og den berører ikke kun kraftværker og banker. Den omfatter omkring 29.500 virksomheder på tværs af 18 sektorer, fra logistik og fødevareproduktion til maskinbyggeri, affaldshåndtering og digitale tjenester. Tærsklen er lav. En virksomhed med 50 eller flere ansatte, eller 10 millioner euro i omsætning, i en af disse sektorer er som udgangspunkt omfattet.

De fleste ejere i Mittelstand har aldrig tænkt på deres forretning som kritisk infrastruktur. Loven beder ikke om det selvbillede. Den ser på sektoren og størrelsen, klassificerer dig som en vigtig eller en særligt vigtig enhed og knytter bindende sikkerhedsforpligtelser til det, forpligtelser der ikke fandtes for et år siden.

Pligten der lander personligt på ejeren

Den skarpeste ændring er, hvem der bærer pligten. Under den nye tyske lov skal ledelsesorganet godkende risikoforanstaltningerne for cybersikkerhed og overvåge, at de rent faktisk er på plads. Det er ikke en opgave, du kan overdrage til en it-leverandør og så glemme. Hvor ledelsen handler groft uagtsomt eller forsætligt, tillader loven bøder mod de enkelte personer og, i alvorlige tilfælde, et midlertidigt forbud mod at bestride en ledelsesrolle.

For en ejerledet virksomhed er det netop dette, der betyder noget. Den, der skriver under for firmaet, skriver nu også under for dets cyberberedskab. En ren outsourcingkontrakt flytter ikke ansvaret væk fra ledelsen. Den ændrer kun, hvem du ringer til, når noget går galt, og på det tidspunkt er pligten allerede blevet sat på prøve.

Registreringslisten, som ingen fortalte dig om

Det er ikke nok i sig selv at være godt beskyttet. Berørte virksomheder skal registrere sig hos Forbundskontoret for Informationssikkerhed, BSI, og give sig til kende. Den lovbestemte frist var marts 2026, og på den dato havde kun omkring 11.500 af de cirka 29.500 virksomheder gjort det. Mere end halvdelen manglede på listen.

BSI har fastsat en endelig forlængelse til den 31. juli 2026 og har signaleret, at kontoret vil undersøge de første sanktioner efter denne sommer. Manglende registrering er i sig selv en bødebelagt overtrædelse på op til 500.000 euro, uafhængigt af ethvert brud. Den stille risiko er ikke et cyberangreb. Den er at være en virksomhed, som tilsynsmyndigheden ikke kan finde på en liste, den nu aktivt kontrollerer.

Hvad du skal sætte i gang dette kvartal

Tre skridt bærer det meste af vægten. Bekræft, om din virksomhed er omfattet, for testen af sektor og størrelse er mekanisk og let at læse forkert. Registrer dig hos BSI inden fristen i juli, hvis du er omfattet. Læg derefter en dokumenteret risikostyringsproces frem for dit ledelsesorgan, så pligten til godkendelse og tilsyn bliver opfyldt og registreret, ikke blot antaget.

Intet af dette kræver en stor sikkerhedsafdeling. Det kræver et klart billede af, hvor du står, dokumentation for, at ledelsen har set på risikoen, og en optegnelse, du kan fremvise, hvis tilsynsmyndigheden spørger. De virksomheder, der får problemer, bliver dem, der behandlede en national cybersikkerhedslov som en it-fodnote.

Læs videre: EU-Rådet genoplivede reglen, der scanner private beskeder  |  Din AI-browser kan lække dine adgangskoder