Et hospital udpeget som kritisk enhed kan være omfattet af to regelsæt. Samme hændelse kan udløse to underretningspligter.
Regelsættene er NIS2-loven om cybersikkerhed og CER-loven om kritiske enheders modstandsdygtighed. De har hver sin myndighed.
Efter NIS2 er Sundhedsdatastyrelsen kompetent myndighed for regionerne, står der i bekendtgørelsen om kompetente myndigheder fra juni 2025. Efter CER er Sundhedsstyrelsen kompetent myndighed for kritiske enheder, der opererer som sundhedstjenesteydere, ifølge bekendtgørelsen fra december 2025.
Der er ikke fundet en offentlig bekræftelse af, at regionerne eller konkrete hospitaler er udpeget som kritiske enheder. Region Hovedstaden skrev i september 2025, at det forventes. Opslaget handler derfor om, hvad der gælder, hvis og når det sker.
De to regelsæt har hver sit kriterium.
Efter NIS2 skal der underrettes ved en væsentlig hændelse, fx en hændelse, der har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab. Efter CER skal der underrettes ved en hændelse, der i betydelig grad forstyrrer eller kan forstyrre leveringen af enhedens væsentlige tjenester. Det er to vurderinger, og en hændelse kan opfylde den ene uden den anden.
Fristerne er også forskellige. Efter NIS2 skal der sendes en tidlig varsling inden for 24 timer og en hændelsesunderretning inden for 72 timer. Den endelige rapport følger senest en måned efter hændelsesunderretningen, eller senere efter særreglerne for en fortsat hændelse. Efter CER skal der underrettes uden unødigt ophold og, medmindre det operationelt ikke er muligt, senest 24 timer efter, at enheden er blevet opmærksom på hændelsen.
Begge underretninger går gennem SAMSIK’s digitale løsning, men det er to underretninger med hver sit indhold til hver sin myndighed.
Og er der persondata involveret, kan Datatilsynet komme oveni.
I det første døgn efter en hændelse har et hospital travlt med patienterne. Det er ikke tidspunktet at finde ud af, hvem der vurderer hvad.
Et NIS2-audit af jeres compliance kan klarlægge, om jeres hospital er klar til begge tilsyn.
Så mit råd til dig, der har ansvaret for beredskabet i en region, et hospital eller en anden mulig kritisk enhed:
1. Skriv ned, hvem der vurderer, om en hændelse er væsentlig efter NIS2, og hvem der vurderer, om den forstyrrer leveringen efter CER. Det kan være samme person, men det skal stå der.
2. Udfyld begge underretninger på en øvelseshændelse, og mål, hvor lang tid det tager at samle oplysningerne.
3. Aftal, hvem der sender til hvilken myndighed, så ingen tror, at en anden allerede har gjort det.
En uafhængig gennemgang kan afdække, hvilke af jeres systemer der stadig mangler en plan for den dag, de ikke er tilgængelige. Ring til Nielco IT på 70 13 63 23.
