Kort sagt: EU-direktivet NIS2 forpligter markant flere virksomheder end tidligere til risikostyringsforanstaltninger og til at indberette væsentlige sikkerhedshændelser. I Tyskland gennemføres det ved loven NIS2UmsuCG (tysk lov til gennemførelse af NIS2 og styrkelse af cybersikkerheden); kompetent myndighed er BSI (det tyske forbundsagentur for informationssikkerhed). For webservere betyder det først og fremmest: Opdateringer, sårbarhedshåndtering og hændelseshåndtering skal være organiseret og kunne dokumenteres. Denne side er generel information, ingen juridisk rådgivning.
Ingen juridisk rådgivning: Om jeres virksomhed falder ind under NIS2, og hvilke pligter der gælder i det enkelte tilfælde, afklarer I ud fra BSI's oplysninger og med juridisk rådgivning. Vi nævner bevidst ingen tærskelværdier eller frister, der afhænger af jeres indplacering.
Hvad NIS2 er
NIS2 er EU's andet direktiv om net- og informationssikkerhed. Det udvider kredsen af forpligtede virksomheder betydeligt i forhold til den tidligere regulering og skelner mellem særligt vigtige og vigtige enheder. Hvilke brancher og størrelsesklasser der er omfattet, fastlægger loven.
I Tyskland gennemfører NIS2UmsuCG direktivet og omskriver i den forbindelse bl.a. BSI-loven. BSI er kontaktpunkt for registrering, indberetninger og tilsyn og stiller på sit website oplysninger og hjælp til indplacering til rådighed. Pålidelige, aktuelle oplysninger om frister og procedurer finder I dér, ikke i generelle sammenfatninger.
NIS2-krav til virksomheder i overblik
For omfattede virksomheder kan pligterne groft opdeles i tre områder:
Risikostyring. Virksomheder skal træffe passende og forholdsmæssige tekniske og organisatoriske foranstaltninger. Hertil hører typisk koncepter for risikoanalyse og informationssikkerhed, håndtering af sikkerhedshændelser, opretholdelse af driften med sikkerhedskopier og krisestyring, sikkerhed i forsyningskæden, sikkerhed ved anskaffelse, udvikling og vedligeholdelse inklusive håndtering af sårbarheder, adgangskontrol og kryptografi.
Indberetninger. Væsentlige sikkerhedshændelser skal indberettes til BSI. Direktivet foreskriver hertil en trindelt procedure, fra en tidlig første indberetning til en afsluttende rapport. De nøjagtige frister og indberetningsveje for Tyskland finder I i BSI's oplysninger.
Ledelsens ansvar. Ledelsen skal godkende foranstaltningerne, overvåge gennemførelsen og lade sig uddanne i spørgsmål om cybersikkerhed. Mere herom under Ledelsens ansvar.
Hvad det betyder for webservere
Webservere er ofte en virksomheds mest åbne system. PHP2Shell viser, hvor hurtigt en sårbarhed i en grundkomponent kan berøre alle applikationer, der kører på den. De to sårbarheder CVE-2026-109618 og CVE-2026-109619 tillader kodeudførelse uden login; BSI har udråbt advarselsniveau 3 (orange) og anbefalet en øjeblikkelig opdatering.
For en NIS2-pligtig virksomhed opstår deraf praktiske spørgsmål: Ved vi, hvilke servere der bruger PHP, og i hvilken version? Hvem følger sikkerhedsmeddelelser og beslutter om nødopdateringer? Kan vi opdage et angreb, og hvem vurderer, om en hændelse er væsentlig og dermed anmeldelsespligtig? Er det fastlagt, hvad hostingudbydere og tjenesteudbydere overtager?
En patch fjerner ikke skadelig software, som blev smuglet ind tidligere, og beviser ikke, at intet er sket. Også det hører med til vurderingen af hændelsen.
Konkrete foranstaltninger for webinfrastrukturen
Følgende punkter er ingen udtømmende liste, men dækker de hyppigste huller:
| Foranstaltning | Tilknytning |
|---|---|
| Fortegnelse over alle webservere, PHP-versioner og applikationer | Risikoanalyse |
| Fast procedure for sikkerhedsopdateringer inkl. genstart og dokumentation | Sårbarhedshåndtering |
| Overvågning og opbevaring af logs | Hændelseshåndtering |
| Afprøvede sikkerhedskopier og genopretningsplan | Driftskontinuitet |
| Opgavefordeling med hostingudbyder og bureauer skriftligt | Forsyningskæde |
| Multifaktor-login til administratoradgange | Adgangskontrol |
| Forberedte indberetningsveje og ansvarsområder | Indberetningspligter |
Som metodisk ramme egner BSI's IT-Grundschutz sig. En IT-nødplan for webservere forbinder teknik, ansvarsområder og indberetningsveje.
Tænk NIS2 og databeskyttelse sammen
Et angreb på en webserver kan samtidig være en NIS2-hændelse og et databrud. Så kører to procedurer side om side, med forskellige myndigheder og krav. Anmeldelsen til databeskyttelsestilsynet efter art. 33 GDPR er beskrevet i GDPR-anmeldelsespligt: 72 timer. Planlæg begge veje på forhånd, så ingen i et alvorligt tilfælde skal improvisere.
Et yderligere punkt vedrører tjenesteudbydere. Mange virksomheder lader bureauer passe websites og hostingudbydere drive servere. Pligten til at tage hensyn til risici i forsyningskæden betyder i praksis: regulér kontraktligt, hvem der indspiller sikkerhedsopdateringer, hvor hurtigt kritiske sårbarheder behandles, hvordan I underrettes om hændelser, og hvilke beviser I modtager. Situationen omkring PHP2Shell er en god prøvesten på, om disse regler allerede findes og har virket i et alvorligt tilfælde. Mangler der et svar, er det et punkt for jeres risikostyring.
Hvordan hjælper PHP SOS konkret?
- Vi kortlægger jeres webinfrastruktur og vurderer risici og huller i en form, som I kan bruge til jeres risikostyring.
- Vi opsætter en dokumenterbar procedure for sikkerhedsopdateringer og overtager den på ønske via en sikkerhedsvedligeholdelsesaftale.
- Med sikkerhedsovervågning og opbevaring af logs skaber vi grundlaget for at opdage og vurdere hændelser.
- Ved en hændelse leverer vi de tekniske fakta til jeres indberetning til BSI; den juridiske indplacering bliver hos jer og jeres juridiske rådgivning.
Ofte stillede spørgsmål
Er min virksomhed omfattet af NIS2?
Det afhænger bl.a. af branche og virksomhedsstørrelse. De nøjagtige kriterier fremgår af den tyske gennemførelseslov. BSI (det tyske forbundsagentur for informationssikkerhed) stiller på sit website oplysninger om omfattethed til rådighed; i tvivlstilfælde afklarer I spørgsmålet med juridisk rådgivning.
Hvad betyder NIS2 for en virksomhedswebsite?
Webservere, kundeportaler og shops hører til de systemer, hvis risici en omfattet virksomhed skal styre. Hertil hører opdateringer, sårbarhedshåndtering, adgangskontrol og evnen til at opdage og indberette hændelser.
Hvilke indberetningsfrister gælder efter NIS2?
Direktivet foreskriver en trindelt indberetningsprocedure for væsentlige sikkerhedshændelser. De bindende frister, veje og formularer for Tyskland finder I i BSI's oplysninger og i lovteksten. Vi nævner her bevidst ingen frister uden tilknytning til jeres situation.
Gælder NIS2 også for leverandører?
NIS2 kræver af omfattede enheder også at tage hensyn til sikkerheden i deres forsyningskæde. Derfor spørger mange kunder deres tjenesteudbydere og leverandører om sikkerhedsforanstaltninger, selv om disse ikke selv direkte falder ind under loven.