Beregner af 72-timersfristen for anmeldelse af brud efter GDPR med beslutningsstøtte

Angiv, hvornår jeres universitet fik kendskab til et brud på persondatasikkerheden, og få fristen efter GDPR artikel 33 med en løbende nedtælling, NIS2-fristerne, hvis de gælder, og leverandørens varslingsfrist efter jeres databehandleraftale. Gennemgå derefter en kort screening baseret på EDPB's retningslinjer, åbn tilsynsmyndighedens side til anmeldelse, og kopiér en post til logbogen efter artikel 33, stk. 5. Alt kører i din browser.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

Hvordan beregnes 72-timersfristen?

De 72 timer i GDPR artikel 33, stk. 1, løber fra det tidspunkt, hvor universitetet fik kendskab til bruddet, og de er kalendertimer: Nætter, weekender og helligdage tæller alle med. EDPB's retningslinjer om anmeldelse af brud henviser til forordning nr. 1182/71 om tidsfrister, som medregner lørdage, søndage og helligdage i alle frister, medmindre de er udtrykt i arbejdsdage.

Artikel 33, stk. 1, kræver anmeldelse »uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det«. De 72 timer er en yderste grænse, ikke et mål. En senere anmeldelse skal ledsages af en begrundelse for forsinkelsen, og mangler der oplysninger, kan I anmelde trinvis (art. 33, stk. 4).

Fristen begynder ved kendskabet, ikke ved selve hændelsen. EDPB anser en dataansvarlig for at have kendskab, når den har »a reasonable degree of certainty« (en rimelig grad af sikkerhed) for, at en sikkerhedshændelse har kompromitteret personoplysninger (retningslinjer 9/2022, punkt 31). En kort undersøgelse er tilladt før dette tidspunkt, men den bør begynde så hurtigt som muligt (punkt 34).

Hvad forordning nr. 1182/71 tilføjer

I punkt 40 i retningslinjer 9/2022 tilføjer EDPB en fodnote til de 72 timer, der henviser til forordning (EØF, Euratom) nr. 1182/71, EU's generelle regler om frister, datoer og tidspunkter. Tre af reglerne har betydning her:

• Frister omfatter helligdage, søndage og lørdage, medmindre de udtrykkeligt er undtaget, eller fristen er udtrykt i arbejdsdage (art. 3, stk. 3).
• Forlængelsen til næste arbejdsdag, når en frist udløber i en weekend eller på en helligdag, gælder kun for frister, der ikke er udtrykt i timer (art. 3, stk. 4). Den forlænger ikke de 72 timer.
• For en frist i timer medregnes den time, hvor begivenheden indtræffer, ikke (art. 3, stk. 1). Læst strengt begynder fristen ved kendskab kl. 10.20 derfor kl. 11.00 og udløber kl. 11.00 tre dage senere.

Validemics analyse Værktøjet viser de 72 timer regnet fra minuttet for kendskab som fristen og den strenge læsning efter artikel 3, stk. 1, som en bemærkning. Planlæg efter det tidligste tidspunkt. De ekstra minutter er ikke en diskussion med tilsynsmyndigheden værd, og pligten er under alle omstændigheder at anmelde uden unødig forsinkelse.

Tidszoner og skift mellem sommer- og vintertid

Værktøjet omregner det tidspunkt, du angiver, til et præcist øjeblik, så fristen er korrekt i enhver tidszone. Skifter uret inden for de 72 timer, tæller værktøjet 72 forløbne timer, hvilket betyder, at fristen på uret ligger en time tidligere eller senere end tidspunktet for kendskab. Værktøjet fortæller, når det sker, og hvilket tidspunkt der er tidligst.

Hvornår begynder fristen, hvis bruddet er sket hos en leverandør?

Som udgangspunkt, når leverandøren underretter jer. En databehandler skal underrette den dataansvarlige »uden unødig forsinkelse« efter at være blevet opmærksom på et brud (art. 33, stk. 2), og EDPB skriver, at den dataansvarlige som udgangspunkt bør anses for at have kendskab, når databehandleren har underrettet den (retningslinjer 9/2022, punkt 44). GDPR fastsætter intet antal timer for leverandøren.

EDPB anbefaler derfor, at databehandlere underretter hurtigt og tilføjer detaljer i trin, og at aftalen fastlægger, hvordan artikel 33, stk. 2, opfyldes, hvilket »can include requirements for early notification« (kan omfatte krav om tidlig underretning) (punkt 45 og 46). Databehandleren behøver ikke vurdere risikoen, før den underretter jer: Det er universitetets opgave (punkt 44). Aftalen skal også forpligte databehandleren til at bistå universitetet med artikel 32-36 (art. 28, stk. 3, litra f).

Validemics analyse Giver en databehandleraftale leverandøren 72 timer eller mere, kan leverandøren bruge hele perioden, før universitetet får besked. Jeres egen frist begynder senere, men tilsynsmyndigheden vil stadig spørge, hvorfor anmeldelsen tog så lang tid. Angiv aftalens varslingsfrist i trin 1 for at se, om leverandøren overholdt den, og registrér svaret. Vores guide til håndtering af brud (på engelsk) oplister, hvad en bestemmelse om brud i en databehandleraftale bør indeholde, og tjekkeren til databehandleraftaler holder en aftale op mod artikel 28, stk. 3.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

Skal jeg anmelde et brud på persondatasikkerheden?

Der er tre mulige udfald. Er det usandsynligt, at bruddet indebærer en risiko for personer, registrerer I det, men anmelder det ikke. Indebærer det sandsynligvis en risiko, anmelder I det til tilsynsmyndigheden. Indebærer det sandsynligvis en høj risiko, underretter I også de berørte (art. 34), medmindre en betingelse i artikel 34, stk. 3, er opfyldt. Alle brud registreres efter artikel 33, stk. 5.

Beslutningsstøtten i trin 2 følger de faktorer, som EDPB oplister i afsnit IV i retningslinjer 9/2022: typen af brud; dataenes karakter, følsomhed og mængde; hvor let personerne kan identificeres; hvor alvorlige og hvor langvarige konsekvenserne kan blive; særlige forhold ved personerne, fx børn; og antallet af berørte. Flere punkter fra retningslinjerne styrer resultatet:

• Hvor særlige kategorier af oplysninger eller oplysninger om strafbare forhold er involveret, »should be considered likely to occur« (bør skade anses for sandsynlig) (punkt 102).
• Korrekt krypterede data med en nøgle, der ikke er kompromitteret, er som udgangspunkt uforståelige, så et brud på fortroligheden behøver måske ikke anmeldes, forudsat at der findes en backup. Uden tilstrækkelig backup kan underretning af de berørte stadig være påkrævet (punkt 76-79).
• En betroet modtager, fx en anden afdeling eller en kendt leverandør, der tilbageleverer eller sletter dataene, kan fjerne sandsynligheden for risiko (punkt 114).
• Når I ikke ved, om data er blevet kopieret, så vurdér »the worse scenario« (det værste scenarie) (retningslinjer 01/2021, punkt 30).
• »If in doubt, the controller should err on the side of caution and notify« (er den dataansvarlige i tvivl, bør den være på den sikre side og anmelde) (retningslinjer 9/2022, punkt 119).

EDPB's eksempler i retningslinjer 01/2021 viser, hvordan faktorerne spiller sammen:

Artikel 34, stk. 3, fritager for pligten til at underrette de berørte, hvis dataene var uforståelige (fx krypterede), hvis senere foranstaltninger betyder, at den høje risiko sandsynligvis ikke længere vil materialisere sig, eller hvis det vil kræve en uforholdsmæssig indsats at kontakte hver enkelt. I det sidste tilfælde kræves der i stedet en offentlig meddelelse. Vores guide til håndtering af brud (på engelsk) anvender disse faktorer på fire scenarier fra universiteter.

Hvad er NIS2's frister på 24 timer, 72 timer og en måned?

Er jeres universitet en væsentlig eller vigtig enhed efter den nationale NIS2-lov, kræver en væsentlig hændelse en tidlig varsling inden for 24 timer efter kendskabet, en hændelsesunderretning inden for 72 timer og en endelig rapport senest en måned efter hændelsesunderretningen (direktiv (EU) 2022/2555, art. 23, stk. 4). De sendes til CSIRT'en eller den kompetente myndighed, ikke til databeskyttelsesmyndigheden.

En hændelse er væsentlig, hvis den har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab eller betydelig skade for andre (art. 23, stk. 3). Er hændelsen stadig i gang, når den endelige rapport skal indsendes, skal der i stedet sendes en statusrapport og den endelige rapport inden for en måned efter, at hændelsen er håndteret (art. 23, stk. 4, litra e). Et enkelt ransomwareangreb kan udløse begge regelsæt, og de to frister kan begynde på forskellige tidspunkter: NIS2-fristen, når I kender til en væsentlig hændelse, og GDPR-fristen, når I ved, at personoplysninger er berørt.

Nationale love tilføjer detaljer. Det svenske Nationellt cybersäkerhetscenter, der modtager indberetninger efter cybersikkerhedsloven via sin Cyberportal, regner de 24 timer fra det tidspunkt, hvor enheden har identificeret hændelsen som indberetningspligtig. Det tyske BSI forklarer kendskab som det tidspunkt, hvor en medarbejder får kendskab til hændelsen »(innerhalb der Arbeitszeit)«, dvs. i arbejdstiden. Om et universitet overhovedet er omfattet, varierer fra land til land; se NIS2 og universiteter: er I omfattet? (på engelsk) og vores side om NIS2-direktivet.

Hvordan organiserer universiteter indberetning af brud?

De universiteter, der pålideligt overholder de 72 timer, gør det første skridt let: én adresse eller formular, indberetning med det samme og uden at vente på alle oplysninger. Fire eksempler:

• Trinity College Dublin beder medarbejderne indberette alle brud eller formodede hændelser til databeskyttelseskontoret »without delay for assessment« (uden forsinkelse til vurdering) og fastslår, at »a data protection breach is not a disciplinary issue« (et brud på databeskyttelsen er ikke en disciplinær sag).
• University of Edinburgh beder medarbejderne indberette en hændelse »immediately« (straks) pr. e-mail til databeskyttelsesrådgiveren og udfylde del A af universitetets evalueringsskema for brud inden for 24 timer efter opdagelsen.
• Universitetet i Oslo beder alle, der behandler personoplysninger på universitetets vegne, om straks at give besked til deres nærmeste leder, som derefter indberetter til UiO-CERT via en formular; ikke alle oplysninger behøver at være kendt først.
• Universiteit Utrecht beder medarbejdere og studerende indberette formodede brud til universitetets ICT Service Desk så hurtigt som muligt via en særlig e-mailadresse eller telefonisk i akutte situationer.

Validemics analyse Fællesnævneren er, at det er nemt for den, der opdager noget, at indberette, og at vurderingen sker centralt. En indberetningsvej, der også er åben uden for kontortid, har betydning, fordi de 72 timer ikke holder pause i weekenden.

Bliver 72-timersfristen ændret?

Under behandling: Kommissionens forslag til en digital omnibus (COM(2025) 837, procedure 2025/0360(COD), 19. november 2025) vil forlænge fristen for anmeldelse til tilsynsmyndigheden efter GDPR til 96 timer, målrette den mod brud med højere risiko og oprette ét fælles indgangspunkt for hændelsesrapportering efter flere regelsæt. Pr. 9. oktober 2026 angiver Europa-Parlamentets lovgivningsobservatorium status som »Awaiting committee decision« (afventer udvalgsbeslutning). Indtil forslaget er vedtaget og finder anvendelse, så planlæg efter 72 timer. Artikel 33 gennemgås på vores side om GDPR.

Kilder

Alle kilder er hentet 9. oktober 2026. Citater fra engelsksprogede og andre udenlandske kilder gengives på originalsproget med vores egen danske oversættelse i parentes.

1. Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 4, nr. 12, artikel 28, stk. 3, litra f, samt artikel 33 og 34, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/dan (teksten i EU-Tidende læst via Publikationskontoret)
2. Direktiv (EU) 2022/2555 (NIS2), artikel 23 og betragtning 102, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/dan
3. EDPB, Guidelines 9/2022 on personal data breach notification under GDPR, version 2.0, vedtaget 28. marts 2023: edpb.europa.eu, Guidelines 9/2022
4. EDPB, Guidelines 01/2021 on examples regarding personal data breach notification, version 2.0, vedtaget 14. december 2021: edpb.europa.eu, Guidelines 01/2021
5. Forordning (EØF, Euratom) nr. 1182/71 om fastsættelse af regler om tidsfrister, datoer og tidspunkter, artikel 1 og 3: EUR-Lex, CELEX 31971R1182 (originalteksten læst via legislation.gov.uk, som vedtaget af EU)
6. Europa-Parlamentets lovgivningsobservatorium, procedure 2025/0360(COD), Digital Omnibus: oeil.europarl.europa.eu
7. Tilsynsmyndighedernes sider om anmeldelse af brud: IMY, Datatilsynet (Danmark), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO og Datenschutzkonferenz' liste over tyske tilsynsmyndigheder. Vi kunne ikke få forbindelse til datatilsynet.no på kontroldatoen.
8. Kontaktpunkter for indberetning efter NIS2: Sverige, Nationellt cybersäkerhetscenter; Danmark, Styrelsen for Samfundssikkerhed; Finland, NCSC-FI under Traficom; Nederlandene, NCSC; Tyskland, BSI: NIS-2-Meldepflicht; Irland, NCSC incident reporting; Europa-Kommissionen, gennemførelse af NIS2
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. The University of Edinburgh, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Universitetet i Oslo, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik
12. Universiteit Utrecht, Report data breach: uu.nl, report data breach

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst GDPR og NIS2 i de udgaver af EU-Tidende, som Publikationskontoret udgiver, begge EDPB-retningslinjer i deres helhed, artikel 3 i forordning nr. 1182/71, hver af de myndigheds- og universitetssider, der er linket ovenfor, og Europa-Parlamentets proceduresag. Beslutningsstøtten er vores egen forenkling af EDPB's faktorer og eksempler. Den er en screeningshjælp og ikke juridisk rådgivning; den dataansvarlige og dennes databeskyttelsesrådgiver er fortsat ansvarlige for vurderingen, og national ret eller tilsynsmyndighedens praksis kan stille yderligere krav. Datologikken er testet på tværs af skift mellem sommer- og vintertid. Hvis et link er flyttet, eller du finder en fejl, så kontakt os, så retter vi det.