Er vi omfattet af NIS2? Sådan afgør ledelsen det

Ingen myndighed fortæller jer, om I er omfattet af NIS2. Ifølge Styrelsen for Samfundssikkerhed (SAMSIK) bliver virksomheder ikke udpeget, så vurderingen ligger hos jer selv. Den kan laves i fire trin: Hører jeres aktiviteter til en sektor i lovens bilag? Er selskabet stort nok? Trækker ejere og koncern tallene op? Og gælder en af reglerne, der virker uanset størrelse? Svaret skrives ned og forelægges ledelsen, også når det er nej. Artiklen bygger på NIS2-loven sammen med SAMSIKs vejledning om anvendelsesområdet. Den er ikke juridisk rådgivning.

Giv vurderingen en ejer

Vurderingen laves for hver juridisk enhed, i praksis for hvert CVR-nummer. Find en person, der kender forretningen, og en, der kender tallene. IT-leverandøren kan sjældent svare, fordi spørgsmålet handler om, hvad I sælger og leverer, og hvor store I er.

To misforståelser går igen. Pligterne gælder for omfattede enheder, uanset om de har registreret sig. Og en registrering ved en fejl gør ingen omfattet.

Trin 1: sektoren

Loven gælder for typer af enheder i bilag 1 og 2. Bilag 1 rummer blandt andet energi, transport, sundhed, drikkevand, spildevand og forvaltning af IT-tjenester for andre virksomheder. Bilag 2 rummer blandt andet post og kurer, affald, kemikalier, fødevarer, dele af fremstillingsindustrien og forskning.

Lav en liste over alt, hvad virksomheden leverer, og hold den op mod bilagene. Læs ordlyden, for bilagene er præcise. Under fødevarer nævnes engrosdistribution og industriel produktion og tilvirkning, så en detailbutik må læse teksten nøje. SAMSIK skriver også, at det som udgangspunkt er ligegyldigt, om aktiviteten er en hovedaktivitet eller en biaktivitet, medmindre definitionen selv siger andet. Rammer én aktivitet, er hele enheden omfattet.

Tre spørgsmål til mødet:

• Hvad leverer vi ud over hovedproduktet, fx transport, distribution af kemikalier eller drift af IT for kunder?
• Driver eller vedligeholder vi systemer for andre? Så kan § 3, nr. 34, om administrerede tjenester være relevant.
• Hører vi under energi, tele eller finans? Så kan en anden lov gælde, jf. § 1, stk. 2, se hvilken myndighed der fører tilsyn med jer.

Rammer ingen aktivitet et bilag, er I som hovedregel uden for loven. Undtagelserne står i trin 4. Softwarehuse kan læse om deres egen SaaS.

Trin 2: størrelsen

Vigtig enhed bliver den, der hører til en type i bilagene og har mindst 50 personer beskæftiget eller både omsætning og balance over grænserne i § 5. Væsentlig enhed bliver den, hvis typen står i bilag 1, og den når 250 personer eller grænserne i § 4, stk. 1. Slå de præcise tal op i loven.

Tre regler fra SAMSIKs vejledning ændrer ofte regnestykket:

• Hele enheden tæller. I kan ikke nøjes med dem, der arbejder med den omfattede aktivitet.
• Personer opgøres i årsværk. Deltidsansatte og sæsonansatte indgår som brøkdele.
• To år i træk. Overskrides eller underskrides en grænse, skifter I først kategori efter to regnskabsår i træk. Det gælder dog ikke, når størrelsen ændrer sig ved fusion eller opkøb.

Ligger I lige under en grænse, handler resten af arbejdet om forberedelse, se I vokser mod NIS2-størrelsesgrænsen.

Trin 3: ejere og koncern

Et selskab med en ejer eller et datterselskab kan være større, end regnskabet viser. Ejer en virksomhed mere end halvdelen af kapitalen eller stemmerne, er selskaberne som udgangspunkt tilknyttede, og tallene lægges sammen fuldt ud. Ved en lavere ejerandel kan der være tale om partnervirksomheder, hvor en forholdsmæssig andel lægges til.

Vejledningen åbner for en undtagelse: et selskab, der stort set fungerer for sig selv, især i sin IT, kan ende under grænsen, selv om helheden er større. Bruger selskaberne samme IT, kan det efter vores vurdering være svært at påberåbe sig den. Koncernens øvrige spørgsmål er samlet i NIS2 i koncernen.

Trin 4: reglerne uanset størrelse

Nogle enheder er omfattet, selv om de er små. Efter § 4, stk. 3, gælder det blandt andet DNS-tjenesteudbydere, topdomæneadministratorer, kvalificerede tillidstjenesteudbydere og den centrale forvaltning, og efter § 5, stk. 3, øvrige tillidstjenesteudbydere. Det gælder også kritiske enheder efter CER-loven. Enheder, der leverer domænenavnsregistrering, står ikke i bilagene, men er ifølge SAMSIK omfattet af dele af loven.

Bestemmelsen har desuden en vurderende del for enheder af en type i bilagene. Er I eneste udbyder i Danmark af en væsentlig tjeneste? Vil et stop hos jer kunne ramme den offentlige sikkerhed eller folkesundheden? Har I særlig betydning for sektoren på nationalt eller regionalt plan? Kan I svare ja, så spørg den sektoransvarlige myndighed.

Når svaret ligger klar

Ja. Så skal I registrere jer senest 2 uger efter, at I er blevet omfattet, jf. § 10, stk. 2, og digitale udbydere efter § 9 senest 3 måneder efter. Registreringen sker via Virk efter § 14 i bekendtgørelsen om de kompetente myndigheder. Ledelsesorganet skal derefter godkende foranstaltningerne og føre tilsyn, se Registreret efter NIS2.

Nej. Loven kræver intet notat om et nej. Vi anbefaler alligevel et på én side, fordi spørgsmålet kommer igen fra kunder, bestyrelse og forsikring. Har I kunder, der selv er omfattet, kan de stadig stille krav, se når kunderne stiller sikkerhedskrav. Leverandørens situation er gennemgået under selv omfattet eller kun kunden.

Tvivl. Ifølge vejledningen kan I altid spørge den sektoransvarlige myndighed om lovens forståelse. Stil spørgsmålet skriftligt med en beskrivelse af aktiviteten, og læg svaret ved notatet. SAMSIK henviser også til værktøjet NIS2-tjek som hjælp.

Notatet bør rumme:

1. CVR-nummer, dato, og hvem der har lavet vurderingen.
2. Aktiviteterne, I har holdt op mod bilagene, med jeres begrundelse.
3. Årsværk, omsætning og balance for de to seneste regnskabsår, med ejere og koncern.
4. Konklusionen, og hvor ledelsen har taget den til efterretning.
5. Hvornår vurderingen tages op igen.

Tag den op efter hvert regnskab og ved opkøb, nye ejere og nye forretningsområder. Punktet kan stå fast i årshjulet.

Det skal I lade være med

• At vente på en besked fra myndighederne · den kommer ikke.
• At se på hovedaktiviteten alene · en biaktivitet kan være nok.
• At tælle hoveder · størrelsen opgøres i årsværk og for hele enheden.
• At konkludere for hele koncernen · hvert selskab vurderes for sig.

Det skal I kræve af den eksterne

• ☐ En gennemgang af aktiviteterne mod bilag 1 og 2, selskab for selskab.
• ☐ Et notat med lovhenvisninger, som ledelsen selv kan forklare.
• ☐ En klar markering af det, der er tolkning, og det, der bør afklares med myndighed eller advokat.
• ☐ Et fast tidspunkt for, hvornår vurderingen gentages.

Kilder

• NIS2-loven, lov nr. 434 af 6. maj 2025: § 1, § 3, nr. 34, §§ 4, 5, 9 og 10 samt bilag 1 og 2.
• Bekendtgørelse nr. 620 af 2. juni 2025: § 14 om digital registrering.
• SAMSIK: Vejledning om anvendelsesområdet: afsnit 1 til 5, 7 og 8.
• SAMSIK: Spørgsmål og svar om NIS2: de tre kriterier og henvisningen til NIS2-tjek.

Senest gennemgået: november 2026.

Næste skridt

• NIS2 og ledelsens ansvar for cybersikkerhed
• Hvad er NIS2? Forklaret for direktionen

Læs også: Sikkerhedsgennemgang som første skridt · Hvem er ledelsesorganet efter NIS2-loven?

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT