NIS2: Når staten kan sætte en privat virksomheds direktør fra bestillingen

NIS2 skal højne cybersikkerheden i samfundskritiske sektorer. Formålet er legitimt. Men den danske gennemførelse giver også myndighederne et usædvanligt stærkt værktøj: En kompetent myndighed kan midlertidigt forbyde en administrerende direktør eller tilsvarende øverste leder at udøve sine ledelsesfunktioner.

Af Politisk Realitet · 26. juli 2026

Hvad siger den danske lov?

Lov nr. 434 af 6. maj 2025 gennemfører centrale dele af NIS2-direktivet i Danmark og trådte i kraft 1. juli 2025.

Efter lovens håndhævelsesregler kan en kompetent myndighed i særlige tilfælde midlertidigt forbyde en fysisk person med ledelsesansvar på niveau med administrerende direktør eller juridisk repræsentant at udøve ledelsesfunktioner i en væsentlig enhed.

Forbuddet er knyttet til manglende efterlevelse af myndighedens påbud og skal ophøre, når virksomheden har truffet de nødvendige foranstaltninger.

Staten overtager ikke virksomheden

Det er vigtigt at afgrænse kritikken præcist. Myndigheden overtager ikke ejerskabet, indsætter ikke automatisk en offentlig direktør og får ikke ret til at fastlægge virksomhedens priser, produktion eller almindelige strategi.

Men myndigheden kan fratage den valgte øverste leder retten til at fungere som leder. Bestyrelsen og ejerne må derefter sikre, at ledelsesfunktionen varetages af en anden.

Juridisk er forskellen betydelig. Politisk er det stadig et direkte indgreb i den private ledelsesret.

Hvorfor findes beføjelsen?

Cyberangreb mod energi, transport, sundhed, vandforsyning og digital infrastruktur kan få konsekvenser langt ud over den enkelte virksomhed.

NIS2 placerer derfor ansvaret i bestyrelseslokalet. Ledelsesorganerne skal godkende virksomhedens cybersikkerhedsforanstaltninger, føre tilsyn med deres gennemførelse og kan holdes ansvarlige for manglende efterlevelse.

Det stærkeste argument for ledelsesforbuddet er, at en bøde ellers kan behandles som en driftsomkostning. Truslen mod selve ledelsesfunktionen giver et stærkere incitament til at rette alvorlige mangler.

Indgrebet kræver ikke en straffedom

Direktøren behøver ikke være dømt for sabotage, bedrageri eller en anden forbrydelse.

Indgrebet er et administrativt håndhævelsesmiddel, som kan blive aktuelt, hvis virksomheden ikke inden for den fastsatte frist afhjælper mangler eller efterkommer myndighedens krav.

Det kan derfor udspringe af uenighed om risikovurderinger, dokumentation, leverandørstyring, beredskab eller om tekniske og organisatoriske foranstaltninger er tilstrækkelige.

Her bliver retssikkerheden afgørende. Jo mere åbne standarderne er, desto større bliver myndighedens fortolkningsrum.

“Passende og forholdsmæssige” krav

NIS2 bygger på, at sikkerhedsforanstaltninger skal være passende og forholdsmæssige i forhold til virksomhedens risici.

Fleksibiliteten er nødvendig, fordi virksomheder og trusselsbilleder er forskellige. Men formuleringen betyder også, at der ikke altid findes ét entydigt teknisk facit.

Hvornår er dokumentationen tilstrækkelig? Hvor meget segmentering er nok? Hvor hurtigt skal et ældre system udskiftes? Hvilken leverandørrisiko kan accepteres?

Når en myndigheds vurdering i sidste ende kan ramme direktørens funktion, bør påbuddet være præcist, dokumenteret og teknisk efterprøveligt.

Indgrebet skal være sidste udvej

NIS2-direktivet kræver effektive, proportionale og afskrækkende håndhævelsesmidler. Myndigheden skal begrunde sine foranstaltninger og som udgangspunkt give virksomheden mulighed for at kommentere de foreløbige resultater.

Det midlertidige ledelsesforbud er ikke tænkt som første reaktion. Det skal anvendes, når mindre indgribende håndhævelse ikke har fået virksomheden til at rette op.

Midlertidigt kan få permanente konsekvenser

Et midlertidigt forbud lyder mindre alvorligt end en afsættelse. Men for en administrerende direktør kan selv en kortvarig suspension ødelægge autoritet, omdømme og ansættelsesforhold.

For virksomheden kan det skabe usikkerhed blandt medarbejdere, kunder, banker, leverandører og investorer.

En juridisk midlertidig sanktion kan derfor få økonomiske og personlige konsekvenser, som ikke kan rulles tilbage, selv hvis en senere prøvelse giver virksomheden medhold.

Domstolsprøvelse bør komme hurtigt

Den berørte virksomhed eller leder kan kræve afgørelsen indbragt for domstolene efter den danske lovs procedure.

Det er en væsentlig retssikkerhedsgaranti. Men initiativet ligger hos den private part, efter at myndigheden har truffet afgørelsen.

Et så alvorligt personrettet indgreb bør efter Politisk Realitets vurdering enten kræve forudgående domstolsgodkendelse eller være underlagt en meget hurtig obligatorisk domstolsprøvelse.

Hvem har det politiske ansvar?

Reglerne udspringer af EU’s NIS2-direktiv fra december 2022. Medlemsstaterne blev pålagt at etablere de nødvendige tilsyns- og håndhævelsesbeføjelser.

Den danske NIS2-lov blev fremsat af minister for samfundssikkerhed og beredskab Torsten Schack Pedersen og vedtaget af Folketinget i april 2025.

Det konkrete danske politiske ansvar ligger derfor hos regeringen og det folketingsflertal, der gennemførte loven. EU har fastlagt rammen, men Folketinget har ansvaret for den danske retssikkerhedsmodel og domstolsadgang.

Er det totalitarisme?

Nej, ikke i den præcise statsvidenskabelige betydning. Danmark er en retsstat med lovbundne myndigheder, domstole og demokratisk kontrol.

Men bestemmelsen er autoritær i sin virkemåde: En forvaltningsmyndighed kan på administrativt grundlag sætte en privat virksomheds øverste leder ud af funktion.

Det er derfor legitimt at kritisere indgrebet som en vidtgående forskydning af magt fra ejer og bestyrelse til staten, uden at overdrive det til en egentlig statslig overtagelse.

Konklusion

NIS2 har et nødvendigt formål. Kritiske virksomheder skal beskytte sig mod cyberangreb, og ledelsen skal tage ansvaret alvorligt.

Men gode formål er ikke en garanti for rimelige midler.

Når staten kan forbyde en privat direktør at udøve sin ledelsesfunktion, går reguleringen fra at stille krav til virksomheden til direkte at ramme den person, som ejerne og bestyrelsen har valgt til at lede den.

Den rimelige balance er derfor klar: Myndighederne skal kunne beskytte samfundet mod alvorlige cyberrisici, men et ledelsesforbud bør kræve præcise og dokumenterede mangler, være sidste udvej og prøves hurtigt af en uafhængig domstol.