NIS2 og Cyber Resilience Act, forkortet CRA, stiller to forskellige spørgsmål. NIS2 spørger til virksomheden: hører det, I leverer, til de omfattede tjenester, og er I store nok? CRA spørger til produktet: kommer noget af det, I laver, ud og køre hos brugeren? Derfor kan et softwarehus lande i fire kombinationer, og to virksomheder af samme størrelse kan få hvert sit resultat. Det vigtigste arbejde for ledelsen er at besvare spørgsmålene hver for sig og give hvert regelsæt sin egen ejer. Artiklen er ledelsesviden til planlægning og ingen juridisk rådgivning.
To regelsæt, som ser på noget forskelligt
NIS2 er i Danmark lov nr. 434 af 6. maj 2025, der har gældt siden 1. juli 2025. Loven handler om virksomhedens egne systemer og tjenester. Loven nævner bl.a. cloudcomputingtjenester og administrerede tjenester og sætter grænser for antal ansatte og økonomi. Tilsynet for den digitale sektor ligger hos Digitaliseringsstyrelsen. En SaaS kan være en cloudcomputingtjeneste, men styrelsens side nævner ikke SaaS direkte, så definitionen i lovens § 3 afgør det. Gennemgangen står i er jeres SaaS selv omfattet af NIS2?.
CRA er forordning (EU) 2024/2847, på dansk forordningen om cyberrobusthed. Den handler om produkter med digitale elementer, og pligterne ligger hos fabrikanten. Det er den virksomhed, der som led i kommerciel aktivitet sætter sit eget navn eller mærke på leverancen. Hovedforpligtelserne gælder fra 11. december 2027, mens pligten til at underrette allerede gælder, nemlig siden 11. september 2026. Efter Kommissionens opfattelse falder en webapplikation, der alene tilgås i browseren, som udgangspunkt uden for, mens en app, en skrivebordsklient eller en browserudvidelse er omfattet. Vejledningen er ikke bindende. De tre afgørende spørgsmål står i er vores webapp omfattet?.
Størrelse virker også forskelligt i de to regelsæt. Efter NIS2 er den en del af afgrænsningen. CRA fritager ikke små virksomheder for at underrette. Mikro- og små virksomheder slipper alene for administrative bøder, hvis de overskrider 24-timers-fristerne.
Myndighederne kan også blive to. Ifølge det danske høringsudkast skal Styrelsen for Samfundssikkerhed føre markedsovervågningen efter CRA. Det er foreslået og ikke vedtaget.
De fire kombinationer
Eksemplerne er tænkte.
- Hverken NIS2 eller CRA. Et lille softwarehus leverer et bookingsystem, kunderne alene bruger i browseren. Begge svar kan være nej, men kunderne kan stadig stille krav i aftalen, og andre regler kan ramme produktet.
- Kun CRA. Samme lille hus lancerer en mobilapp. Størrelsen ændrer sig ikke, men appen er nu et produkt, og den backend, appen ikke kan undvære, kan regnes med. Underretningspligten skal have en ejer med det samme.
- Kun NIS2. En større SaaS bruges alene i browseren og falder ind under definitionen af en cloudcomputingtjeneste. Pligterne rammer virksomheden, mens produktet efter Kommissionens opfattelse står uden for CRA.
- Begge dele. Den større SaaS får en skrivebordsklient. Nu kører to spor side om side, med hvert sit formål og hver sin tidsplan.
To hændelser flytter jer mellem kombinationerne. Et nyt stykke software hos brugeren kan ændre CRA-svaret, og vækst eller en ny koncernstruktur kan ændre NIS2-svaret. Begge dele er anledninger til at se på afklaringen igen.
Hvem ejer hvad internt
CRA ligger hos den, der ejer produktet. Det er CTO’en, en fractional CTO eller den produktansvarlige. Arbejdet består af et overblik over hele leverancen, cybersikkerhedsrisikovurdering, teknisk dokumentation, softwarekomponentliste og fastsættelse af supportperioden. Det ender som punkter i køreplanen, som udviklerne løser.
NIS2 ligger hos ledelsen og den, der ejer sikkerheden. Omfatter loven jer, får ledelsen et selvstændigt ansvar, og opgaven rækker ud over produktet. CRA dækker netop ikke virksomhedens samlede IT, og vejledningen regner interne systemer som HR, løn, CRM og CI/CD-pipelines uden for fjerndatabehandling. Den del hører hjemme i sikkerhedsledelsen, og fordelingen mellem rollerne er beskrevet i CTO eller CISO. Hvad der derefter følger for ledelsen, står i registreret efter NIS2.
Direktionen ejer afklaringen. Den skal stå skrevet med dato og begrundelse for begge regelsæt, så direktionen kan svare bestyrelsen og kunderne.
I et lille softwarehus kan begge spor ligge hos én person, når det står skrevet, og der er tid til begge dele. Ofte taber sikkerhedsledelsen til næste release.
Hvor de to spor mødes
Tre steder kræver, at ejerne taler sammen.
Hændelser. En aktivt udnyttet sårbarhed i produktet sætter CRA’s frister i gang, se 24 timer til ENISA. Er I også omfattet af NIS2, har I et selvstændigt spørgsmål om underretning, som hvem beslutter NIS2-underretningen tager op. Aftal på forhånd, hvem der vurderer hvad, så det ene spor ikke tror, at det andet har handlet.
Leverandører og komponenter. CRA kræver omhu ved valg af komponenter, og en tredjeparts færdige SaaS i produktet behandles som en komponent. Samme leverandør indgår i virksomhedens eget overblik, hvis I arbejder med NIS2. Vores forslag er én fælles liste med en kolonne for hvert formål, så der ikke opstår to versioner. Den produktnære del er uddybet i tredjepartsbiblioteker, SBOM og byggepipeline.
Kundernes spørgsmål. Kunder blander ofte de to sammen. Et svar om produktet besvarer intet om virksomheden, og omvendt. Hold to korte standardsvar i kundens spørgeskema om produktet, så salget ikke svarer “vi er ikke omfattet” uden at sige af hvad.
Hvad gør I nu?
Tag en time sammen med produktets ejer og den økonomiansvarlige.
- Skriv ned, hvad I leverer, til hvem, og hvad der kører hos brugeren.
- Besvar NIS2-spørgsmålet for virksomheden, og tag Sikker Digitals selvtest som første filter.
- Besvar CRA-spørgsmålet for hver del af leverancen.
- Sæt et navn på ejeren af hvert spor og på stedfortræderen.
- Skriv anledningerne ned: ny klient, nyt regnskab, ændret koncern.
Lad en advokat se på det, I er i tvivl om. Datoerne for de øvrige regler står i regler for softwarevirksomheder.
Det skal I lade være med
- At lade ét svar dække begge regelsæt · et nej til det ene siger ingenting om det andet.
- At gemme CRA til 2027 · underretningspligten gælder allerede.
- At lægge sikkerhedsledelsen hos udviklerne, fordi de kender koden · NIS2 rækker ud over produktet.
- At skrive det danske CRA-udkast ind i planen som vedtaget · det er stadig et høringsudkast.
Det skal I kræve af den eksterne
- ☐ Én side med konklusion, dato og begrundelse for hvert regelsæt.
- ☐ Tydeligt skel mellem lovtekst, Kommissionens opfattelse og egen læsning.
- ☐ En navngivet ejer af hvert spor.
- ☐ CRA-arbejdet omsat til punkter i køreplanen.
- ☐ Klar besked om, hvad der hører hos advokaten, og hvad der hører hos den, der ejer sikkerheden.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 3 om definitioner.
- Digitaliseringsstyrelsen: Er I omfattet af NIS2? og Sikker Digital: NIS2-tjek.
- Kommissionen: Cyber Resilience Act: datoer.
- Kommissionens vejledning C(2026) 5252: ikke bindende, afsnit 2 om omfang, afsnit 8 og nr. 181 til 183 om forholdet til virksomhedens øvrige IT og NIS2.
- Forordning (EU) 2024/2847: art. 3, nr. 2, art. 13, stk. 5, og art. 14.
- Høringsportalen: udkast til supplerende regler til CRA: dansk høringsudkast, ikke vedtaget.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Cyber Resilience Act: hvad betyder den for jeres produkt? · Er jeres SaaS selv omfattet af NIS2?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CTO hos Nielco IT
