Der er ikke ét NIS2-tilsyn i Danmark. Tilsynet er fordelt efter sektor ved bekendtgørelse nr. 620 af 2. juni 2025, så en fødevareproducent har Fødevarestyrelsen, en vognmand Trafikstyrelsen og en IT-driftsleverandør Digitaliseringsstyrelsen. Loven kalder dem kompetente myndigheder, og Styrelsen for Samfundssikkerhed (SAMSIK) kalder dem sektoransvarlige myndigheder. Det er den myndighed, der vejleder jer og fører tilsyn. Artiklen viser fordelingen, de tre sektorer med egne regler, og hvad ledelsen skal gøre med svaret. Listen er vores gengivelse til overblik, og bekendtgørelsen og SAMSIKs oversigt er det, I skal holde jer til.
Sektor for sektor
Offentlig forvaltning
- Kommuner og central forvaltning · Styrelsen for Samfundssikkerhed. Banedanmark og Vejdirektoratet hører dog under Trafikstyrelsen.
- Regioner · Sundhedsdatastyrelsen.
Sundhed og fremstilling
- Sundhed og fremstilling af medicinsk udstyr · Sundhedsdatastyrelsen.
- Fremstilling af elektronik og computere, elektrisk udstyr, maskiner og transportmidler · Styrelsen for Samfundssikkerhed.
- Kemikalier: fremstilling, produktion og distribution · Styrelsen for Samfundssikkerhed.
- Fødevarer: engrosdistribution, industriel produktion og tilvirkning · Fødevarestyrelsen.
Transport og post
- Luft, jernbane og vejtransport · Trafikstyrelsen.
- Driftsorganer i havne og anlæg og udstyr i havne · Trafikstyrelsen.
- Rederier · Søfartsstyrelsen.
- Skibstrafiktjenester · Styrelsen for Samfundssikkerhed.
- Post og kurer · Trafikstyrelsen.
Digitale tjenester
- Cloud, datacentre, indholdslevering (CDN), DNS-tjenester, topdomæner og tillidstjenester · Digitaliseringsstyrelsen.
- Administrerede tjenester og administrerede sikkerhedstjenester, altså IT-driftsleverandører og lignende · Digitaliseringsstyrelsen.
- Onlinemarkedspladser, søgemaskiner og sociale platforme · Digitaliseringsstyrelsen.
- Internetudvekslingspunkter og teletjenester · Styrelsen for Samfundssikkerhed.
Forsyning og miljø
- Drikkevand og spildevand · Miljøstyrelsen.
- Affaldshåndtering · Miljøstyrelsen. Affaldsforbrænding hører dog under Energistyrelsen.
Forskning og rummet
- Forskning og rummet · Uddannelses- og Forskningsstyrelsen. Styrelser og institutioner under Klima-, Energi- og Forsyningsministeriet i sektoren rummet hører under Klimadatastyrelsen.
Energi, tele og finans har egne regler
Tre sektorer har særlovgivning, og hvor den gælder, viger NIS2-loven (§ 1, stk. 2).
- Energi · lov om styrket beredskab i energisektoren. Energistyrelsen er myndighed, og sektoren har egne grænseværdier, der varierer efter delsektor og type af enhed.
- Tele · lov om sikkerhed og beredskab i telesektoren. Styrelsen for Samfundssikkerhed er myndighed.
- Finans · lov om finansiel virksomhed for udpegede operatører af finansiel digital infrastruktur, med Finanstilsynet som myndighed. Reglerne er afstemt med DORA. Se DORA eller NIS2.
Hører I til en af de tre, er det derfor ikke sikkert, at NIS2-lovens paragraffer er dem, I skal læse. Det påvirker også artiklerne på dette site, som bygger på NIS2-loven. Spørg den relevante myndighed om, hvordan kravene lyder hos jer.
Når svaret ikke er oplagt
I passer ind i flere sektorer. Ifølge SAMSIK kan en virksomhed tilhøre flere sektorer, hvis aktiviteterne er spredt. Beskriv aktiviteterne og spørg myndighederne, hvordan I skal registrere jer. Vi har ikke fundet en fast regel for, hvilken myndighed der går forud.
I er digital udbyder. Hører I til den digitale sektor, kan Digitaliseringsstyrelsens tre spørgsmål hjælpe. Står I uden for sektoren og er i tvivl, henviser styrelsen til Ministeriet for Samfundssikkerhed og Beredskab.
I er underleverandør uden for loven. Så har I ingen tilsynsmyndighed efter NIS2. Kravene kommer via jeres kunder, og det er kunden, I svarer. Se Når kunderne stiller sikkerhedskrav. Vurderingen af, om I er omfattet, skal stå skrevet ned, også når svaret er nej.
Andre myndigheder. Datatilsynet fører tilsyn med persondata, uanset sektor, og en hændelse kan involvere begge spor, se Én hændelse, to underretninger.
To ting, der ikke følger sektoren
Indgangen er fælles. Registrering og underretning sker uanset myndighed digitalt via den selvbetjeningsløsning, SAMSIK anviser på Virk (bekendtgørelsens § 14). Hvis løsningen er nede, eller I er ramt af en hændelse, der forhindrer adgang, kan I bruge den alternative løsning, SAMSIK har angivet (§ 15, stk. 3). Find den nu, og skriv den ind i beredskabsplanen.
CSIRT er noget andet. CSIRT er det team, der modtager og håndterer hændelsesmeldinger. Ifølge SAMSIK varetager Forsvarets Efterretningstjeneste opgaven som national CSIRT. Tilsyn og hændelseshjælp ligger altså to steder, se Hvad national CSIRT kan hjælpe med.
Det gør I nu
- Find sektoren. Find jeres sektor og delsektor i NIS2-lovens bilag 1 og 2, og hold dem op mod bekendtgørelsen.
- Skriv det ned. Ét kort notat med sektor, delsektor, myndighed, dato og begrundelse. Læg det til godkendelse hos ledelsen.
- Læs myndighedens side. Se efter vejledning, krav og hvordan den varsler tilsyn. Sektorens egen vejledning går længere end de tværgående. Der findes også sektorvurderinger af truslen, som kan være brugbare, se trusselsvurderingen i risikoarbejdet.
- Giv myndigheden en plads hos jer. Hvem følger med i nyt fra myndigheden, og hvem tager imod en henvendelse? Hvad I gør, når brevet kommer, findes i artiklen om myndighedens anmodning om dokumentation, og hvad tilsynet må, står i Tilsyn efter NIS2.
Det skal I lade være med
- At antage, at SAMSIK er jeres myndighed · styrelsen er kun tilsyn for nogle af sektorerne.
- At gætte på sektoren ud fra branchekoden · aktiviteterne afgør det, og lovens bilag er kilden.
- At bruge vejledning fra en anden sektor uden at tjekke · kravene og praksis kan være forskellige.
- At lade tvivlen ligge · et spørgsmål til myndigheden er hurtigere end en sag bagefter.
Det skal I kræve af den eksterne
- ☐ Et skriftligt notat om sektor, delsektor og myndighed med kildehenvisning.
- ☐ Overblik over myndighedens vejledninger og relevante sektorvurderinger.
- ☐ Besked, hvis særlovgivning eller flere sektorer kan være i spil.
- ☐ Registrering, der passer med notatet, og en ejer af ændringer.
- ☐ Beredskabsplan med både fast indgang og alternativ vej.
Kilder
- Bekendtgørelse nr. 620 af 2. juni 2025: §§ 1 til 13 om kompetente myndigheder, §§ 14 og 15 om digital kommunikation.
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 1, stk. 2, § 20 og bilag 1 og 2.
- SAMSIK: Tilsyn og vejledning pr. sektor: oversigt med kontaktoplysninger.
- SAMSIK: Spørgsmål og svar om NIS 2: særlovgivning, flere sektorer og national CSIRT.
- Digitaliseringsstyrelsen: Er I omfattet af NIS 2-loven?.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tilsyn efter NIS2 · Frister i sikkerhedsarbejdet
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
