ENISA’s NIS360 vurderer, hvor modne og hvor kritiske de sektorer er, som NIS2 regner for særligt vigtige, og placerer dem i fire grupper. En koncern kan bruge sin sektors placering som pejlemærke for, hvor omgivelserne er svage, men vurderingen siger intet om den enkelte virksomhed.
Den seneste udgave er den tredje, udgivet 28. maj 2026. Den forrige, NIS360 2024, kom 5. marts 2025. ENISA skriver, at den allerførste udgave ikke blev formelt udgivet i 2023.
Hvad NIS360 vurderer
Rapporten dækker 22 sektorer og delsektorer med høj kritikalitet fra bilag I i NIS2. Den ser på hele sektorens økosystem og ikke på de enkelte virksomheder i den.
Modenheden består i rapporten af fire dele:
- Lovgivningen og dens virkning i sektoren.
- Virksomhederne og deres beredskab.
- Myndighederne og deres kapacitet.
- Sektorens samarbejdsstrukturer.
Det betyder, at en sektor kan få en lav modenhed, selv om mange virksomheder i den er godt rustet, fordi myndighederne eller samarbejdet halter. Og omvendt.
Hvordan vurderingen er lavet
ENISA bygger på surveys, rapporter og andre kilder. Der bruges et sæt faste kerneindikatorer, så udviklingen kan følges fra udgave til udgave, og en scoringsalgoritme, der samler dem. Modellen kalibreres for blandt andet skævheder i selvvurderinger.
Det er et eksempel på noget, en koncern også kan lære af i sin egen måling: at holde nogle indikatorer faste, så serien kan følges, og at korrigere for, at de målte ofte vurderer sig selv for venligt.
De fire grupper
Rapporten placerer sektorerne i fire grupper.
- I · Beskrivelse: Høj modenhed og høj kritikalitet · Sektorer nævnt i rapporten: Telekommunikation, elektricitet, bank; nye i gruppen: tillidstjenester, finansielle markedsinfrastrukturer, luftfart
- II · Beskrivelse: Høj kritikalitet og øvre moderat modenhed · Sektorer nævnt i rapporten: Blandt andre core internet, datacentre og cloud
- III · Beskrivelse: Risikozonen · Sektorer nævnt i rapporten: Sundhed, jernbane, søfart, IKT-tjenesteforvaltning, rummet, offentlig forvaltning, drikkevand og spildevand
- IV · Beskrivelse: Øvrige · Sektorer nævnt i rapporten: De fleste energidelsektorer og vejtransport
ENISA beskriver risikozonen som sektorer med lavere modenhed end gennemsnittet, men høj kritikalitet i forhold til modenheden. Om gas skriver rapporten, at sektoren er begyndt at bevæge sig ud af risikozonen.
Sådan læser en koncern sin egen sektor
Rapportens formål er at hjælpe medlemsstater og myndigheder med at se huller og prioritere. Den er ikke skrevet til virksomhederne. Alligevel kan en koncern bruge den på tre måder.
Som kontekst for egne afhængigheder. En koncern, der selv ligger i gruppe I, kan have vigtige leverandører eller kunder i en sektor i risikozonen. Svagheden hos dem kan blive koncernens problem. Det kan være et argument for at se nærmere på de afhængigheder i næste modenhedsvurdering.
Som baggrund for bestyrelsen. En kort omtale af sektorens placering kan give bestyrelsen en fornemmelse af, hvilke omgivelser koncernen arbejder i. Den skal stå som kontekst, aldrig som en vurdering af koncernen selv.
Som tjek af egne antagelser. Hvis koncernen ligger i en sektor, hvor ENISA peger på svage samarbejdsstrukturer, kan det være værd at spørge, om koncernen selv deltager i sektorens fora og får advarsler i tide.
Det, NIS360 ikke kan bruges til
En koncern i en sektor i gruppe I er ikke selv moden, fordi sektoren er det. En koncern i risikozonen er heller ikke selv umoden. Sektorvurderingen er et gennemsnit over mange virksomheder, myndigheder og samarbejder, og den enkelte virksomheds placering i forhold til gennemsnittet fremgår ikke.
Det er også værd at bemærke, at en koncern med flere forretningsområder kan høre til flere sektorer på én gang. Et datterselskab i energi og et i transport kan ligge i hver sin gruppe. Det er sitets anbefaling at bruge den relevante sektor pr. enhed frem for én placering for hele koncernen.
Hvorfor offentlige tal generelt ikke kan sættes direkte op mod egne scorer, er beskrevet i sammenligning med andre virksomheder.
Sådan følges nye udgaver
NIS360 er udkommet i flere udgaver med forskellige navne og datoer, og sektorernes placering flytter sig. Det er derfor praksis at notere, hvilken udgave en placering stammer fra, hver gang den bruges.
Når en ny udgave kommer, er der tre ting at se efter. Har koncernens sektorer skiftet gruppe? Har ENISA ændret på de fire dele, modenheden består af, eller på kerneindikatorerne? Og er der kommet nye sektorer med, som koncernens enheder hører til?
Skifter en sektor gruppe, er det værd at læse ENISA’s begrundelse. En sektor kan rykke, fordi myndighederne har fået mere kapacitet, uden at virksomhederne i den har ændret sig. For en koncern er det en vigtig forskel. Det er sitets anbefaling at skrive en kort note til bestyrelsen, når en relevant sektor flytter, med udgave, gruppe og ENISA’s egen forklaring.
En sektors placering kan også bruges i dialogen med koncernens egne enheder. Et datterselskab i en sektor i risikozonen kan have en god grund til at se ekstra efter i sine afhængigheder, også selv om dets egen score er pæn. Det er praksis at nævne sektorens gruppe i enhedens del af rapporten, så enhedens ledelse kender omgivelserne. Placeringen ændrer ikke enhedens målniveau, men den kan påvirke, hvilke områder der får opmærksomhed først.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at den ansvarlige læser den seneste udgave, finder de sektorer, koncernens enheder tilhører, og skriver placeringen ind som kontekst med udgave og dato.
Uden den læsning kan koncernen overse, at vigtige samarbejdspartnere ligger i en sektor med kendte svagheder. Bruges placeringen omvendt som koncernens egen score, kan bestyrelsen få et for pænt eller for dystert billede.
Det skal I lade være med
- At bruge sektorens gruppe som koncernens modenhed · NIS360 vurderer sektorer.
- At citere en ældre udgave uden at tjekke den nyeste · placeringerne flytter sig.
- At give hele koncernen én sektor · enhederne kan høre til forskellige.
Det skal gennemgangen kunne vise
- ☐ De sektorer, koncernens enheder hører til efter NIS2 bilag I.
- ☐ Sektorernes placering i den seneste udgave med dato.
- ☐ Vigtige leverandører og kunder i sektorer i risikozonen.
- ☐ At placeringen står som kontekst og ikke som score.
Kilder
- ENISA, NIS360, tredje udgave, 28. maj 2026, resumé og bilag B, læst 14. november 2026.
- ENISA, NIS360 2024, udgivet 5. marts 2025, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de sektorer, jeres enheder hører til, og noter deres gruppe i den tredje udgave ved siden af enhedens egen score.
Læs også: Leverandørlandskabet i koncernen · Kun nogle selskaber er NIS2-omfattede
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
