Registrér NIS 2 på Virk – nye omfattede virksomheder har kun to uger

En virksomhed, der først bliver omfattet af NIS 2-loven efter 1. oktober 2025, skal ifølge Virks registreringsside registreres senest to uger efter, at den bliver omfattet; ændringer i en eksisterende registrering skal indberettes inden for tre måneder. Blanketten kræver MitID Erhverv og en liste over virksomhedens offentlige IP-adresser.

Før login bør den ansvarlige afklare, hvilken enhed og tjeneste der er omfattet, og hvornår pligten opstod. Derefter skal oplysninger om sektor, leveringslande, størrelse, kontaktpersoner og eventuel fuldmagt samles. Det giver et grundlag for at vælge de rigtige felter i blanketten.

Fastslå registreringspligten og startdatoen

Tag udgangspunkt i den konkrete enhed og de tjenester, den leverer. Registreringspligten afhænger blandt andet af sektor, enhedstype og størrelse; en virksomhed kan eksempelvis blive omfattet senere, hvis den vokser over et relevant størrelseskrav. Notér den ændring, der udløste pligten, og datoen, hvor den indtrådte. Fristen regnes fra det tidspunkt, enheden bliver omfattet.

En intern vurdering bør beskrive tjenesten og knytte den til den relevante sektor og enhedstype. Undersøg også, om en undtagelse fra størrelseskravet er relevant. Hvis afgrænsningen er usikker, kan den sektoransvarlige myndighed hjælpe med faglige spørgsmål, før kategorien vælges i blanketten.

Vælg alle relevante sektorer og kend myndigheden

En enhed, der arbejder i flere omfattede sektorer, skal markere dem alle. Lav derfor en oversigt over hver relevant tjeneste, sektor, delsektor og enhedstype. Registreringen fordeles automatisk til de myndigheder, der har ansvar for de valgte sektorer; virksomheden behøver ikke sende en særskilt blanket til hver myndighed.

Afklar samtidig, om enheden skal angives som vigtig eller væsentlig. Blanketten spørger til kategorien, antallet af ansatte samt årlig omsætning og balance i forhold til lovens kriterier. Få tallene fra de personer, der har ansvar for økonomi og virksomhedsoplysninger, så vurderingen bygger på den enhed, der faktisk skal registreres.

Afklar adgang og fuldmagt

Udpeg den person, der skal indsende registreringen, og kontrollér adgangen til MitID Erhverv, før oplysningerne samles i blanketten. I vejledningen til registreringsblanketten skelnes der mellem indberetning på egne vegne og med fuldmagt; ved registrering for en anden skal CVR-nummeret angives.

Hav enhedens navn, adresse, e-mailadresse og telefonnummer klar. Den, der udfylder blanketten, er ikke nødvendigvis den rette kontakt ved senere spørgsmål fra myndigheden. Aftal derfor internt, hvilke kontaktoplysninger der skal bruges, og hvem der kan svare, hvis indsenderen skifter rolle.

Saml oplysningerne, før blanketten åbnes

Blanketten samler oplysninger fra flere dele af virksomheden. En kort tjekliste gør det lettere at opdage mangler, mens der stadig er tid til at få svar fra drift, økonomi og de ansvarlige for tjenesterne:

• Sektorer og tjenester: Beskriv den aktivitet, der begrunder hver valgt sektor og enhedstype. Ved en opdatering skal sektorer, som enheden er ophørt med at operere i, også kunne angives.
• Leveringslande: Find de EU-medlemsstater, hvor enheden leverer tjenester. Blanketten skelner mellem levering kun i Danmark, i bestemte medlemsstater og i hele EU.
• Størrelse og kategori: Saml medarbejdertal, årlig omsætning og balance. Afklar kategorien vigtig eller væsentlig og eventuelle relevante undtagelser fra størrelseskravet.
• Kontakt og beredskab: Find de almindelige kontaktoplysninger, navn på den ansvarlige leder for informationssikkerhed samt telefonnummer og e-mailadresse til det operative beredskab, hvor felterne er relevante.
• Offentlige IP-adresser: Få en oversigt over de faste, offentlige adresser, som enheden har brugsret til til sine egne servere. Medtag også dedikerede adresser i virtuel infrastruktur eller hostede løsninger.

IP-listen kræver en særskilt afklaring med den, der administrerer netværk og hosting. Faste, offentlige adresser skal angives i CIDR-format og adskilles med komma. Delte adresser i almindelige PaaS- eller SaaS-tjenester skal ikke medtages, og det samme gælder normalt adresser til medarbejdernes pc’er og interne enheder. Har enheden ingen faste, offentlige IP-adresser, skal det angives som tekst; klassificerede oplysninger skal udelades.

Digitale virksomheder skal afklare registreringslandet

For de fleste omfattede udbydere af digitale tjenester er udgangspunktet ifølge Digitaliseringsstyrelsens beskrivelse af registreringspligten den medlemsstat, hvor hovedforretningsstedet ligger. Afklar derfor placeringen af hovedforretningsstedet, før en digital enhed går videre med dansk registrering.

For visse digitale virksomheder åbner blanketten yderligere felter om digital enhedstype, hovedforretningssted, andre forretningssteder og en eventuel NIS 2-repræsentant. Saml adresser og kontaktoplysninger for netop den enhed, der registreres. En udenlandsk enhed uden dansk CVR-nummer og MitID Erhverv må desuden vælge en af de alternative indsendelsesmuligheder, som Virk beskriver.

Gem kvitteringen, og opdater ved ændringer

Når alle relevante sektorer og oplysninger er kontrolleret, indsendes blanketten på Virk. Virksomheden får en kvittering på skærmen og via Digital Post. Download også en kopi af den indsendte blanket, og gem den sammen med grundlaget for vurderingen af, hvorfor og hvornår enheden blev omfattet.

Hvis eksempelvis adresse, kontaktoplysninger eller sektor ændres, indsendes en ny blanket inden ændringsfristen. Ved opdateringen skal det markeres, at der er tale om en tidligere registrering, og referencenummeret fra den oprindelige blanket skal bruges. Gem derfor nummeret sammen med kvitteringen.

Læs også:

• 73 pct. af ENISAs cyberhændelser rammer sektorer omfattet af NIS2
• Meta går ind i virksomheds-AI – Muse bliver første byggesten
• Search Console måler nu billedsøgning – men kun når trafikken findes