NIS2-loven deler de omfattede virksomheder i væsentlige og vigtige enheder. Kategorien ændrer næsten intet ved det, I skal have på plads, for foranstaltninger, ledelsens godkendelse, kurser og underretning er de samme. Den ændrer, hvornår myndigheden kan komme, og hvor langt den kan gå bagefter. Styrelsen for Samfundssikkerhed (SAMSIK) skriver, at kravene i udgangspunktet er ens, og at inddelingen har betydning for tilsyn, håndhævelse og sanktioner. Artiklen viser, hvordan I finder jeres kategori, og hvad den betyder for ledelsen. Den er ikke juridisk rådgivning.
Sådan finder I kategorien
Har I konstateret, at I er omfattet af NIS2, er der tre spørgsmål tilbage.
1. Hvilket bilag står jeres type i? Bilag 1 rummer energi, transport, bank og finansielle markedsinfrastrukturer, sundhed, drikkevand og spildevand, digital infrastruktur, forvaltning af IT-tjenester for andre virksomheder, offentlig forvaltning og rummet. Bilag 2 rummer post og kurer, affald, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning.
2. Hvor store er I? En enhed i bilag 1 er væsentlig med 250 personer eller derover, eller når både omsætning og balance er over grænserne i § 4, stk. 1. Er I mindre, men har mindst 50 personer eller ligger over de økonomiske grænser i § 5, er I vigtig enhed. Det gælder også enheder i bilag 2.
3. Gælder en særregel? Efter § 4, stk. 3, er nogle enheder væsentlige uanset størrelse. Det gælder blandt andet kvalificerede tillidstjenesteudbydere, DNS-tjenesteudbydere, topdomæneadministratorer, centrale myndigheder og virksomheder, der er udpeget som kritisk enhed efter CER-loven. Det samme kan ramme enheder i begge bilag, hvis ingen anden i Danmark leverer en tjeneste, som kritiske aktiviteter afhænger af, eller hvis et udfald kan få væsentlig betydning for den offentlige sikkerhed eller folkesundheden.
Af de tre trin følger to ting, der ofte overrasker. Størrelse alene gør ingen enhed i bilag 2 væsentlig. En fødevareproducent med mange hundrede ansatte er vigtig enhed, medmindre en særregel rammer den. Og ifølge SAMSIK bliver hele enheden væsentlig, hvis den har aktiviteter i flere sektorer, og én af dem anses for væsentlig. Vurderingen går altså på selskabet og ikke på afdelingen.
Det, der er ens
Ledelsen kan ikke bruge kategorien til at skrue ned for arbejdet. Følgende gælder begge kategorier:
- foranstaltningerne i § 6, herunder de ti punkter i stk. 1, der som minimum skal være dækket,
- ledelsesorganets godkendelse og tilsyn efter § 7, stk. 1, og kurserne efter stk. 2,
- underretning om væsentlige hændelser efter §§ 12 og 13 og beskeden til dem, der modtager jeres tjenester, efter § 15,
- registrering efter § 10 eller § 9,
- bødestraf efter § 32 for blandt andet at overtræde §§ 6, 10, 12, 13 og 15.
Det, der er forskelligt
Anledningen til tilsyn. Over for væsentlige enheder kan myndigheden føre tilsyn efter § 21 uden særlig anledning, også med stikprøver. Over for vigtige enheder er tilsynet reaktivt, jf. § 24, og det sætter ind, når noget tyder på, at loven er brudt. Loven siger ikke, hvad der tæller som en indikation, og vi har ikke fundet en liste over det. Hvad myndigheden konkret må, står i Tilsyn efter NIS2.
Håndhævelsen. Advarsler, bindende instrukser, påbud og forbud findes i begge spor, § 22 og § 25. To redskaber står kun i sporet for væsentlige enheder. Efter § 22, nr. 7, kan myndigheden sætte en person til for en periode at holde øje med enhedens overholdelse af reglerne. Og efter § 23 kan myndigheden, når de første redskaber ikke har virket, og en frist er udløbet, midlertidigt suspendere en certificering eller godkendelse. Den kan også for en tid afskære den administrerende direktør eller en person på samme niveau fra at lede enheden. Begge dele kan kun stå, indtil manglerne er rettet. Se også advarsel, påbud eller bindende instruks.
Bøderne. Ifølge SAMSIK kan væsentlige enheder få større bøder end vigtige. Hvilke overtrædelser der kan straffes, står i bøder efter NIS2-loven.
Hvad det betyder for ledelsen
Forskellen er først og fremmest et spørgsmål om timing. Det følgende er vores vurdering.
I en væsentlig enhed bør ledelsen regne med, at dokumentationen kan blive efterspurgt, uden at noget er gået galt. Mulige audits hører med i årshjulet og sikkerhedsbudgettet, og bestyrelsen bør vide, at § 23 kan ramme direktøren personligt, hvis påbud ikke følges. Det hænger sammen med spørgsmålet om personligt ansvar.
I en vigtig enhed er dokumentationen den samme, men den bliver typisk først efterspurgt, når der er en konkret anledning. Det frister til at vente. Faren er, at anledningen ofte vil være en hændelse, altså det tidspunkt, hvor ingen har tid til at skrive noget.
Tænk på en maskinfabrik med 120 ansatte. Direktøren har læst, at tilsynet med vigtige enheder er reaktivt, og sætter NIS2-arbejdet på pause. Ved gennemgangen i bestyrelsen peger formanden på, at § 6 og § 7 gælder fuldt ud, og at reaktivt alene siger noget om, hvornår myndigheden kigger. Arbejdet fortsætter, og det eneste, der ændres, er forventningen til, hvor ofte nogen udefra spørger.
Når kategorien skifter
Virksomheder vokser, og kategorien følger med. SAMSIK skriver, at en enhed først skifter størrelseskategori, når over- eller underskridelsen sker to regnskabsår i træk, så et enkelt usædvanligt år ikke flytter jer. Ved fusion eller opkøb gælder den regel ikke. Se vækst mod NIS2-grænsen, og tag spørgsmålet med i planen, når I køber en virksomhed.
Læg også mærke til registreringen. § 10, stk. 1, nævner sektor og delsektor, men ikke kategorien. Jeres egen begrundelse for kategorien skal derfor ligge hos jer.
Det gør I nu
- Skriv kategorien ind i notatet om, hvorvidt I er omfattet, med bilag, størrelse og eventuelle særregler.
- Skriv hvert selskab op for sig, hvis I er en koncern.
- Bed ledelsen forholde sig til de tal, der kan flytte jer: ansatte, omsætning, nye aktiviteter og opkøb.
- Spørg jeres kompetente myndighed, hvis særreglerne kan ramme jer.
Det skal I lade være med
- At sætte lighedstegn mellem vigtig og lettere · pligterne og bødestraffen følger begge kategorier.
- At vurdere størrelsen alene · bilaget og særreglerne afgør lige så meget.
- At behandle kategorien som et engangssvar · vækst, opkøb og nye aktiviteter kan ændre den.
Det skal I kræve af den eksterne
- ☐ Et notat med kategori, bilag og begrundelse for hvert selskab.
- ☐ En tydelig adskillelse af lovtekst og vurdering.
- ☐ En kort forklaring til bestyrelsen af, hvad kategorien betyder for tilsyn og håndhævelse.
- ☐ Et fast tidspunkt for, hvornår vurderingen gentages.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS2-loven): §§ 4 til 7, 10, 12, 13, 15 og 21 til 25, § 32 og bilag 1 og 2.
- SAMSIK: Vejledning om anvendelsesområdet: afsnit 5 om væsentlige og vigtige enheder og afsnittet om kriterier for virksomhedsstørrelse.
- SAMSIK: Spørgsmål og svar om NIS2: forskellen på de to typer enheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er NIS2? · Dækker ISO 27001 NIS2-kravene?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
