Hvis du bor i EU, er der tre love, der former, hvor hurtigt en virksomhed skal indrømme, at den er blevet hacket. En sammenligning fra 2026 af NIS2, DORA og GDPR ser på anvendelsesområde, 24-timers- og 72-timersklokker for hændelser, bøder i et interval fra €10 mio. til €20 mio., og hvilke medlemsstater der havde handlet inden november 2026. Dette indlæg oversætter det til et letforståeligt sprog. Den korte version af NIS2 DORA GDPR-brudrapportering: klokkerne er stramme, strafferammerne er store, og reglerne gælder ikke på samme måde i alle lande.

Hvad NIS2-, DORA- og GDPR-brudrapporteringsklokkerne faktisk betyder

De to tal, der skiller sig ud i sammenligningen, er 24 timer og 72 timer. Det er frister, der begynder at løbe, når en organisation bliver opmærksom på en alvorlig hændelse. De er ikke løfter om, at du får besked inden for en dag eller tre.

I praksis handler disse klokker primært om, at virksomheden rapporterer til en regulator eller tilsynsmyndighed. Den tidlige rapport giver embedsmænd mulighed for at se, om et angreb rammer flere organisationer på én gang. En kortere første frist (24 timer) betyder generelt en tidlig heads-up, mens en længere frist (72 timer) giver tid til et mere fuldstændigt billede af, hvad der er sket. Kilde-sammenligningen uddyber ikke alle detaljer om, hvordan hver lov tildeler sine klokker, så tjek den officielle tekst for hver forordning eller din nationale myndighed for den præcise ordlyd.

De tre love dækker også forskellige områder:

  • GDPR handler om personoplysninger og gælder for organisationer, der behandler oplysninger om personer i EU.
  • NIS2 handler om sikkerheden af netværks- og informationssystemer i sektorer, der anses for vigtige for samfundet.
  • DORA handler om digital operationel robusthed i den finansielle sektor.

På grund af dette overlap kan én hændelse udløse mere end én lov på samme tid. Et cyberangreb på en finansiel virksomhed, der eksponerer kundedata, kan rejse spørgsmål under alle tre.

Hvornår en virksomhed skal fortælle dig om et brud: hvad det betyder for dig

Det er her, forventningerne skal justeres. En 24-timers- eller 72-timersklokke betyder ikke, at din indbakke lyser op næste dag. Den første rapport går normalt til myndighederne, og underretning af berørte personer er et separat skridt med sine egne betingelser. Disse betingelser afhænger af den relevante lov og af, hvor alvorlig risikoen er for dig.

Hvad du med rimelighed kan udlede af rammen:

  • Regulatorerne hører først. Forvent, at den formelle klokke gælder for rapporten til myndigheden, ikke for en offentlig meddelelse.
  • Tidlige meddelelser kan være ufuldstændige. En kort første rapport kan udelade årsagen, omfanget eller hvorvidt dine data var involveret.
  • Dine rettigheder kommer primært fra GDPR. Det er loven centreret om personoplysninger, så det er den, du skal se på, når du vil vide, hvad du har ret til at få at vide.
  • Sektoren betyder noget. Hvis din bank, en betalingsudbyder eller en essentiel tjeneste rammes, kan NIS2- eller DORA-forpligtelser gælde oveni GDPR.

Intet af dette erstatter din egen forsigtighed. Selv et velfungerende rapporteringssystem efterlader et gab mellem en hændelse og din underretning, så det hjælper at ændre adgangskoder, aktivere multifaktorautentificering og holde øje med dine konti for usædvanlig aktivitet, så snart du hører om et brud.

Sådan sammenlignes NIS2-, DORA- og GDPR-bøder

Sammenligningen rammer ind strafferammerne som et interval fra €10 mio. til €20 mio. Det interval signalerer, hvor alvorligt lovgiverne ser på misligholdte frister og svag sikkerhed. Manglende rettidig rapportering er i sig selv en overtrædelse af compliance, adskilt fra bruddet.

En bemærkning om præcision. Kildeoversigten angiver det overordnede interval, men ikke en linje-for-linje-opdeling, der viser, hvilken lov der fastsætter hvilket beløb. Vi vil ikke gætte på beløbene pr. lov, fordi strafferammer kan omfatte forskellige lofter, procentdele af omsætningen og nationale implementeringsvalg. For DORA specifikt kan detaljerne afhænge af, hvordan hver medlemsstat fastsætter sine sanktioner. Hvis du har brug for præcise tal for en bestemt lov, skal du læse forordningen selv eller din nationale myndigheds vejledning.

Hvad intervallet fortæller dig, er, at regulatorerne har reel indflydelse. For virksomheder, der skal opfylde flere overlappende forpligtelser, kan en hændelse, der håndteres dårligt, skabe mere end ét compliance-problem på én gang.

Sådan tjekker du, om dit EU-land har gennemført NIS2 og DORA

Sammenligningen sporer også, hvilke EU-stater der havde handlet inden november 2026, hvilket er en påmindelse om, at EU-regler ikke altid træder i kraft overalt på samme tid. NIS2 er et direktiv, så hver medlemsstat skal omsætte det til national lovgivning, og fremskridtene kan variere fra land til land. Praktiske måder at tjekke, hvor dit land står:

  1. Søg på din nationale regerings cybersikkerhedsmyndighed. Den offentliggør normalt status for den nationale NIS2-lovgivning og angiver, hvem der skal registrere sig eller rapportere.
  2. Se på din finansielle regulator. For DORA er det nationale finanstilsyn den bedste kilde til, hvordan reglerne gælder for banker, forsikringsselskaber og betalingsvirksomheder.
  3. Tjek din databeskyttelsesmyndighed. For GDPR forklarer den, hvordan du indgiver en klage, og hvilke underretningsrettigheder du har.
  4. Læs de officielle EU-tekster. Selve forordningerne og direktiverne er den endelige kilde til frister og anvendelsesområde.

Hvis dit land har været langsomt, fjerner det ikke GDPR. Det har været gældende i hele EU i årevis og er fortsat dit mest direkte værktøj, når personoplysninger eksponeres.

Vigtige pointer

At forstå NIS2 DORA GDPR-brudrapportering kommer ned til et par punkter: 24-timers- og 72-timersklokkerne styrer mest rapporter til regulatorer, bøderne er betydelige, og den nationale gennemførelse varierer. Brug et par minutter i denne uge på at slå dit eget lands NIS2- og DORA-status op, og gennemgå dine GDPR-rettigheder til at blive informeret og til at klage til din databeskyttelsesmyndighed.

Hvis du vil se, hvordan et ikke-EU-regime håndterer lignende spørgsmål, så læs vores dækning af UK Cyber Security Resilience Bill, som trækker kritisk infrastruktur ind i en formel national ramme og tackler sine egne pligter til hændelsesrapportering. At sammenligne det med EU-tilgangen viser, hvordan forskellige regeringer konvergerer mod hurtigere og mere struktureret offentliggørelse af brud.