Hvad kræver NIS2 af medarbejdernes sikkerhedstræning?

Er virksomheden omfattet af NIS2-loven, skal sikkerhedsarbejdet som minimum omfatte "grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse". Ledelsen skal selv deltage i relevante kurser og tilskynde til, at de øvrige ansatte får tilsvarende kurser. Loven siger ikke, hvor meget eller hvor ofte der skal trænes. Ifølge Styrelsen for Samfundssikkerhed skal virksomheden have en politik for uddannelse af medarbejderne, og træningen bør ske regelmæssigt og være dokumenteret. Den danske NIS2-lov har gældt siden 1. juli 2025.

Er jeres virksomhed omfattet af NIS2?

Det afhænger af to ting: hvad I laver, og hvor store I er. Loven gælder for enheder "der er omfattet af lovens bilag 1 og 2" (§ 1). Bilagene er lister over sektorer og typer af virksomheder, fx inden for transport, sundhed, digital infrastruktur, affaldshåndtering, fødevarer og fremstilling. Står jeres type ikke i bilagene, er I som udgangspunkt ikke omfattet, uanset størrelse.

Tre områder har deres egne regler. Loven gælder ikke for enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren eller lov om sikkerhed og beredskab i telesektoren, og heller ikke for enheder, der er udpeget efter § 333, stk. 1, i lov om finansiel virksomhed (§ 1, stk. 2). Arbejder I inden for energi, tele eller finans, så undersøg først, om de særlige regler gælder for jer.

Står I i bilagene, afgør størrelsen, om I er en væsentlig eller en vigtig enhed:

• Væsentlig enhed (bilag 1): 250 ansatte eller derover, eller en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro (§ 4).
• Vigtig enhed (bilag 1 eller 2): 50 ansatte eller derover, eller en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 5).

Nogle enheder er omfattet uanset størrelse, fx DNS-tjenesteudbydere og enheder, der er udpeget som kritiske (§ 4, stk. 3). Er I en del af en koncern, så tjek, hvordan tallene opgøres. Lovforslagets bemærkninger henviser til EU's regler om, hvilke partner- og tilknyttede virksomheder der tælles med, men en virksomhed, der er uafhængig af dem, kan efter omstændighederne vurderes på egne tal.

Er I ikke selv omfattet, kan kravene alligevel nå jer. Omfattede virksomheder skal håndtere "forsyningskædesikkerhed", herunder forholdet til deres "direkte leverandører eller tjenesteudbydere" (§ 6, stk. 1, nr. 4). Leverer I til en omfattet virksomhed, kan I derfor opleve, at kunden spørger ind til jeres sikkerhed, også til medarbejdernes træning.

Hvad siger loven om træning af medarbejderne?

Lovens § 6, stk. 1, kræver, at omfattede virksomheder træffer "passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger" for at styre risiciene for deres net- og informationssystemer. Foranstaltningerne skal som minimum omfatte ti ting. Nummer 7 er:

"Grundlæggende cyberhygiejnepraksisser og cybersikkerhedsuddannelse."

Ordlyden kommer fra EU's NIS2-direktiv, artikel 21, stk. 2, litra g. Hverken loven eller direktivet siger, hvad uddannelsen skal indeholde, hvor lang den skal være, eller hvor ofte den skal gentages. Kravet er, at den er "passende og forholdsmæssig" i forhold til jeres risici.

Træningen står ikke alene. Listen i § 6 rummer også bl.a. håndtering af hændelser, backup, adgangskontrol og brug af flere faktorer ved login. Træning er ét af ti punkter.

Hvad kræver loven af ledelsen?

Her er loven mere konkret. Ledelsen skal godkende sikkerhedsforanstaltningerne og føre tilsyn med, at de bliver gennemført (§ 7, stk. 1). Og § 7, stk. 2, siger:

"Medlemmerne af en væsentlig eller vigtig enheds ledelsesorgan skal deltage i relevante kurser om styring af cybersikkerhedsrisici og tilskynde til, at tilsvarende kurser tilbydes til enhedens øvrige ansatte."

Læg mærke til forskellen. Ledelsen skal selv deltage. For de øvrige ansatte skal ledelsen tilskynde til, at kurserne tilbydes. Direktivets artikel 20, stk. 2, bruger ordet "løbende" om kurserne til de ansatte, og formålet er, at de får kundskaber nok til "at kunne identificere risici".

Medarbejdertræning er altså ikke kun et punkt på en liste. Det er noget, ledelsen personligt skal sørge for bliver tilbudt.

Hvad skal træningen indeholde, og hvordan dokumenterer I den?

Styrelsen for Samfundssikkerhed har skrevet en vejledning til, hvordan kravene kan opfyldes. Kapitel 7 handler om cyberhygiejne og uddannelse. Her står der: "Enheden skal udarbejde en politik for uddannelse af medarbejdere". Det samme står i lovforslagets bemærkninger til § 6, nr. 7. Om selve træningen skriver vejledningen, at "uddannelse og træning bør ske regelmæssigt og være dokumenteret", og at den bl.a. kan omfatte:

• almindelig cyberhygiejne, fx adgangsstyring, opdatering af mobile enheder og brug af passwords
• løbende orientering om kendte trusler og angrebsmetoder, der er relevante for virksomheden
• træning i, hvad medarbejderne skal gøre, når der sker en hændelse, gerne konkret og med scenarier

Vejledningen nævner også grunduddannelse til nye medarbejdere og til dem, der skifter til en rolle med andre krav til sikkerhed.

Et enkelt program, der følger vejledningen, kan se sådan ud: en skriftlig politik på én side om, hvem der skal trænes i hvad. En kort introduktion til nye medarbejdere i deres første uger. Korte, løbende lektioner om de trusler, I faktisk møder, fx svindelmails, falske opkald og falske fakturaer. Og en øvelse i, hvem man kontakter, når noget er gået galt. Politikken skal I have. Resten er vores forslag til en form, ikke et krav i loven eller vejledningen.

Læg mærke til forskellen. Politikken er et "skal". At træningen sker regelmæssigt og bliver dokumenteret, er et "bør". Dokumentationen er alligevel det, I kan vise frem, hvis tilsynet spørger: jeres politik, hvem der har gennemført hvad, og hvornår.

Hvem fører tilsyn, og hvad sker der ved brud?

Der er ikke én NIS2-myndighed. Tilsynet er fordelt på sektormyndigheder, som er udpeget i en bekendtgørelse fra juni 2025. Sundhedsdatastyrelsen har fx sundhed, Trafikstyrelsen luft-, jernbane- og vejtransport, Digitaliseringsstyrelsen bl.a. cloud- og datacentertjenester, og Miljøstyrelsen bl.a. drikkevand og spildevand. Hvilken der gælder for jer, afhænger af jeres sektor.

Omfattede virksomheder skal registrere sig hos den relevante myndighed senest 2 uger efter, at de er blevet omfattet af loven (§ 10). Den, der overtræder kravene til foranstaltninger i § 6, stk. 1, kan straffes med bøde (§ 32). Loven nævner ikke et beløb.

Hvordan hjælper weakestlink med træningsdelen?

Platformen dækker den del af kravet, der handler om at træne alle medarbejdere løbende og kunne vise det:

• Løbende træning. Hver medarbejder får én kort lektion om måneden, regnet fra sin egen startdato. Nye medarbejdere starter altså fra begyndelsen, når de kommer til.
• Øvelse i virkeligheden. Simulerede phishing-mails til jeres egne adresser viser, om træningen virker, og en medarbejder, der går i fælden, får den relevante lektion med det samme.
• Dokumentation. Trænings-evidensrapporten (PDF eller CSV) viser tal for hele organisationen: hvor mange aktive medarbejdere der har gennemført træning i perioden, gennemførte, igangværende og forsinkede lektioner, deltagelse i simuleringer og et revisionsspor. Den viser bevidst ingen navne, og i en organisation med færre end 5 aktive medarbejdere vises ingen procenter. Hvem der har gennemført hvad, ser administratoren på den enkelte medarbejders side, og hele træningsforløbet med dato for gennemførelse pr. person kan hentes som CSV i dataudtrækket.

Hvornår passer weakestlink ikke til jer?

• I har brug for et ledelseskursus i risikostyring. Kurset, ledelsen selv skal deltage i efter § 7, stk. 2, handler om styring af cybersikkerhedsrisici. Vores lektioner er skrevet til medarbejdere, ikke til en bestyrelse.
• I skal opfylde hele § 6. Risikoanalyse, hændelseshåndtering, backup, kryptering og adgangskontrol ligger uden for platformen. Træningen er ét af ti punkter, og vi dækker kun det ene.
• I har brug for rådgivning om, hvorvidt I er omfattet. Det afgøres af bilagene og jeres sektormyndighed. Det kan vi ikke afgøre for jer.

Få træningen og dokumentationen på plads

Se kurserne, medarbejderne får, før I beslutter noget. Kataloget er åbent uden login.

Se kurserne