NIS2-loven kender ikke koncernen som enhed. Hvert selskab med eget CVR-nummer vurderes for sig, og hvert selskab, der er omfattet, har sit eget ledelsesorgan med pligt til at godkende foranstaltningerne, føre tilsyn og deltage i kurser. Koncernforholdet får alligevel betydning på tre punkter: når selskabets størrelse skal beregnes, når et selskab har aktiviteter i flere EU-lande, og når koncernen udbyder visse digitale tjenester. For ledelsen er opgaven at lave en fælles ramme, der lader hvert ledelsesorgan opfylde sine egne pligter.
Artiklen bygger på lov nr. 434 af 6. maj 2025 og Styrelsen for Samfundssikkerheds vejledning om anvendelsesområdet. Hvordan en virksomhed, I køber, kommer ind under jeres sikkerhedsstyring, er beskrevet særskilt i opkøbt virksomhed i sikkerhedsstyringen.
Ét selskab, én vurdering
Ifølge vejledningen er en enhed en juridisk person med et CVR-nummer. Et moderselskab og dets datterselskab er derfor to enheder, hvis de har hver deres CVR-nummer. Hver enhed skal selv vurdere, om den er omfattet af loven, og om den er væsentlig eller vigtig.
Er en enhed omfattet, gælder loven for hele enheden. Vejledningen nævner, at det også gælder, hvis kun ét af enhedens forretningsområder ligger i en af lovens sektorer. Den risikobaserede tilgang betyder dog, at sikkerhedsniveauet kan variere mellem forretningsområderne.
Resultatet kan være, at nogle selskaber i koncernen er omfattet, mens andre ikke er. Moderselskabet kan være et holdingselskab uden egen aktivitet i lovens sektorer, mens et produktionsselskab længere nede er væsentlig enhed.
Størrelsen regnes med de tilknyttede selskaber
Lovens størrelsesgrænser bygger på EU’s definition af små og mellemstore virksomheder. Vejledningen forklarer, at partnervirksomheder og tilknyttede virksomheder kan få betydning for beregningen. Ejer et selskab mere end halvdelen af kapitalen eller stemmerne i et andet, regnes det som udgangspunkt som tilknyttet, og tallene lægges sammen fuldt ud. Ved ejerandele mellem 25 og 50 procent lægges en forholdsmæssig andel til.
Der er en vigtig nuance. Vejledningen nævner, at en enhed, der i vid udstrækning opererer uafhængigt af de tilknyttede selskaber, særligt i sine net- og informationssystemer, kan blive anset for at ligge under grænsen, selv om koncernen samlet er større. Den vurdering bør dokumenteres omhyggeligt. Hvordan grænserne ser ud for en virksomhed i vækst, står i i vokser mod NIS2-størrelsesgrænsen.
Hvert selskab har sit ledelsesorgan
Lovens § 3, nr. 20, fastlægger ledelsesorganet efter selskabsform. Bestyrelsen er ledelsesorgan, hvor selskabet har både bestyrelse og direktion, og direktionen, hvor der kun findes en direktion. Definitionen gælder for hvert selskab. Pligterne i § 7 ligger derfor hos ledelsesorganet i det selskab, der er omfattet.
I mange koncerner sidder de samme personer i flere ledelser. Det er praktisk, men godkendelsen skal stadig ske i det rigtige organ og kunne ses i dets referater. Et punkt på moderselskabets bestyrelsesmøde dækker ikke automatisk datterselskabets ledelsesorgan. Ledelsesorganet i de enkelte selskabsformer har sin egen artikel om ledelsesorganet efter NIS2.
Datterselskaber i andre EU-lande
Jurisdiktionen følger også den enkelte enhed. Et selskab etableret i Danmark hører som udgangspunkt under den danske lov, mens selskaber i andre medlemsstater skal undersøge, om de er omfattet af det pågældende lands regler. Koncernen kan altså have selskaber under flere landes gennemførelse af direktivet.
For en række digitale tjenester gælder særlige regler. Efter § 2, stk. 2 og 3, hører fx udbydere af cloudcomputingtjenester og administrerede tjenester under dansk jurisdiktion, hvis hovedforretningsstedet er i Danmark, og hovedforretningsstedet er der, hvor beslutningerne om cybersikkerhedsforanstaltningerne overvejende træffes. Vejledningen tilføjer, at når tjenesten leveres af en gruppe af virksomheder, er det den kontrollerende virksomheds hovedforretningssted, der gælder for hele gruppen. Den slags enheder skal kunne dokumentere vurderingen ved et tilsyn.
Fælles politik, lokale ejere
En fornuftig model i en koncern består af tre lag:
- En fælles ramme fra moderselskabet med politik, metode til risikovurdering, krav til leverandører og fælles rapportering.
- Lokal tilpasning og godkendelse i hvert omfattet selskab, hvor ledelsesorganet godkender de foranstaltninger, der gælder for netop det selskab.
- Fælles opfølgning, hvor koncernledelsen ser status på tværs, mens hvert ledelsesorgan får sin egen rapport og fører sit eget tilsyn.
Fælles IT-drift er almindelig i koncerner. Leverer et koncernselskab IT til de andre, bør ansvarsfordelingen skrives ned, så hvert selskab ved, hvad det selv skal gøre, og hvad det kan kræve af koncernens IT.
Tænk på en koncern med et dansk moderselskab, to danske produktionsselskaber og et salgsselskab i Tyskland. Det ene produktionsselskab er væsentlig enhed, det andet ligger under grænsen, og salgsselskabet undersøger de tyske regler. Moderselskabet udsender en fælles politik, og bestyrelsen i det omfattede produktionsselskab godkender sine egne foranstaltninger og modtager sin egen kvartalsrapport.
Det skal I lade være med
- At vurdere koncernen samlet og stoppe dér · vurderingen skal laves for hvert selskab.
- At godkende alt i moderselskabets bestyrelse · hvert omfattet ledelsesorgan skal selv godkende og følge op.
- At glemme de tilknyttede selskaber i størrelsesberegningen · tallene kan bringe et selskab over grænsen.
- At overse selskaberne i andre EU-lande · de kan være omfattet af et andet lands regler.
- At lade koncernens IT-afdeling eje ansvaret · den udfører, mens ledelsesorganerne beslutter.
Det skal I kræve af den eksterne
- ☐ En oversigt over alle selskaber med CVR-nummer, sektor, størrelse og status efter loven.
- ☐ En dokumenteret størrelsesberegning, hvor de tilknyttede selskaber indgår.
- ☐ En fælles ramme med tydelige felter til lokal tilpasning og godkendelse.
- ☐ Rapporter tilpasset hvert omfattet selskabs ledelsesorgan.
- ☐ En beskrivelse af ansvaret mellem koncernens IT og de enkelte selskaber.
Første møde i koncernledelsen
Lav oversigten over selskaberne, og markér, hvilke der er omfattet. Aftal derefter, hvilke beslutninger der træffes i fællesskab, og hvilke der skal i hvert selskabs ledelse. De samlede pligter står under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 2 om jurisdiktion og hovedforretningssted, § 3, nr. 20, om ledelsesorganet, §§ 4 og 5 om, hvornår en enhed er væsentlig eller vigtig, § 7 om godkendelse, tilsyn og kurser.
- SAMSIK: Vejledning om anvendelsesområdet: enhed og CVR-nummer, hele enheden omfattet, jurisdiktion i koncerner, hovedforretningsreglen og beregning med partner- og tilknyttede virksomheder.
- Kommissionens henstilling 2003/361/EF (eur-lex): definitionen af små og mellemstore virksomheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Opkøbt virksomhed i sikkerhedsstyringen · Ledelsen skal godkende og føre tilsyn
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
