NIS2: er I omfattet – eller leverandør til en, der er?
NIS2-loven har gjaldt siden 1. juli 2025. De fleste små virksomheder er ikke selv omfattet – men mange møder alligevel loven, når en kunde begynder at stille sikkerhedskrav.
NIS2-loven (lov nr. 434 af 6. maj 2025) gælder som udgangspunkt for virksomheder i de sektorer, der står i lovens bilag 1 og 2, når de har mindst 50 ansatte eller både en årlig omsætning og en balance over 10 mio. euro. Enkelte typer er omfattet uanset størrelse. Er I mindre eller uden for sektorerne, er I som udgangspunkt ikke omfattet – men leverer I til en virksomhed, der er, kan I møde forholdsmæssige sikkerhedskrav i aftalen.
Kort fortalt
- Tre ting afgør, om I selv er omfattet: sektor, størrelse og de særlige typer, der er omfattet uanset størrelse.
- At jeres kunde er omfattet, gør ikke jer omfattet – men kunden skal styre risikoen ved sine direkte leverandører.
- Kravene er risikobaserede. Ingen licens eller enkelt produkt gør en virksomhed »NIS2-klar«.
- Brug det vejledende NIS2-tjek og Styrelsen for Samfundssikkerheds vejledning, og spørg en rådgiver ved tvivl.
Tre spørgsmål afgør, om I selv er omfattet
Styrelsen for Samfundssikkerhed (SAMSIK) beskriver tre kriterier: om virksomheden hører til en af de omfattede sektorer, virksomhedens størrelse, og om den er omfattet uanset størrelse eller er særlig vigtig set fra et samfundsperspektiv. Sektorerne står i lovens bilag 1 (sektorer af særlig kritisk betydning) og bilag 2 (andre kritiske sektorer). Energi, tele og den finansielle sektor er dækket af særskilt lovgivning.
Vurderingen sker for den enkelte enhed – i praksis det enkelte CVR-nummer. Men SAMSIKs vejledning om anvendelsesområdet gør opmærksom på, at partnervirksomheder og tilknyttede virksomheder kan tælle med i størrelsen. Ejer en anden virksomhed mere end 50 % af jer, regnes dens tal som udgangspunkt med; ved ejerskab mellem 25 og 50 % medregnes en forholdsmæssig andel. En virksomhed, der i vid udstrækning opererer uafhængigt – også i sine net- og informationssystemer – kan efter vejledningen godt falde under grænsen. Antal ansatte opgøres i årsværk efter EU-Kommissionens definition af små og mellemstore virksomheder.
| Kategori | Sektor | Størrelse (mindst ét af kriterierne) |
|---|---|---|
| Væsentlig enhed | Bilag 1 | 250 ansatte eller derover – eller omsætning over 50 mio. euro og balance over 43 mio. euro |
| Vigtig enhed | Bilag 1 eller 2 | 50 ansatte eller derover – eller omsætning over 10 mio. euro og balance over 10 mio. euro |
| Omfattet uanset størrelse | Bestemte typer | Fx kvalificerede tillidstjenesteudbydere, DNS-tjenesteudbydere og topdomæneadministratorer |
| Som udgangspunkt ikke omfattet | Uden for bilagene | Uanset størrelse |
Vær opmærksom: Denne artikel forklarer reglerne overordnet og er ikke juridisk rådgivning. Reglerne står i NIS2-loven (lov nr. 434 af 6. maj 2025) og uddybes i SAMSIKs vejledninger og af de sektoransvarlige myndigheder. Det er virksomheden selv, der skal vurdere, om den er omfattet.
Sektorer, som mindre virksomheder ofte spørger til
Bilagene er lange og bruger EU-definitioner, så det er værd at læse den præcise tekst for jeres egen branche. Blandt de sektorer, der oftest er relevante for virksomheder i 5–50-medarbejderklassen, er:
- Sundhed (bilag 1): bl.a. sundhedstjenesteydere. Størrelseskriteriet gælder også her, så en mindre praksis vil som udgangspunkt ligge under grænsen, medmindre et af de særlige grundlag gælder.
- Forvaltning af IKT-tjenester mellem virksomheder (bilag 1): udbydere af administrerede tjenester og administrerede sikkerhedstjenester – altså også IT-driftsleverandører, hvis de opfylder størrelseskriteriet.
- Fremstilling (bilag 2): bl.a. medicinsk udstyr, computere og elektronik, elektrisk udstyr, maskiner, motorkøretøjer og andre transportmidler.
- Fødevarer (bilag 2): virksomheder med engrosdistribution samt industriel produktion og tilvirkning.
- Kemikalier, affaldshåndtering samt post- og kurertjenester (bilag 2).
Eksempel: En maskinfabrik med 70 ansatte fremstiller udstyr inden for en af bilag 2-kategorierne. Den skal undersøge nøje, om den er en vigtig enhed. Dens underleverandør, et smedefirma med 12 ansatte, er som udgangspunkt ikke selv omfattet – men kan få nye krav i sin kontrakt med fabrikken.
Hvis I er omfattet: det kræver loven
Omfattede enheder skal registrere sig hos den kompetente myndighed via virk.dk. Fristen for dem, der var omfattet ved lovens ikrafttræden, var 1. oktober 2025; bliver en virksomhed omfattet senere, er fristen efter § 10 to uger. Derudover stiller loven krav på tre områder:
- Foranstaltninger (§ 6): passende og forholdsmæssige tekniske, operationelle og organisatoriske tiltag. Loven nævner som minimum bl.a. risikoanalyse og sikkerhedspolitikker, håndtering af hændelser, driftskontinuitet med backup og reetablering, forsyningskædesikkerhed, sikkerhed ved indkøb og vedligeholdelse, vurdering af om tiltagene virker, cyberhygiejne og uddannelse, kryptografi, personalesikkerhed og adgangskontrol samt multifaktorautentificering, hvor det er relevant.
- Ledelsens ansvar (§ 7): ledelsesorganet skal godkende foranstaltningerne og føre tilsyn med, at de gennemføres. Medlemmerne skal deltage i relevante kurser om styring af cybersikkerhedsrisici.
- Underretning (§§ 12–13): ved en væsentlig hændelse en tidlig varsling senest 24 timer efter, at virksomheden har fået kendskab til den, en hændelsesunderretning senest efter 72 timer og en endelig rapport senest en måned efter underretningen.
Godt at vide: Loven peger ikke på bestemte produkter eller licenser. Microsoft 365, en bestemt firewall eller et certifikat kan være en del af svaret på et krav, men ingen af dem er i sig selv lovkrav. SAMSIKs vejledning om foranstaltninger beskriver, hvad der forventes inden for hvert område.
Hvis I er leverandør til en, der er omfattet
Det er her, de fleste mindre virksomheder møder NIS2. SAMSIK skriver, at virksomheder, der ikke selv er omfattet, kan blive mødt med krav til sikkerhedsforanstaltninger, fordi de leverer varer eller tjenester til en omfattet enhed. Samtidig præciserer styrelsen, at den omfattede virksomhed ikke skal stille præcis de samme krav til sine leverandører, som den selv er underlagt, og at den ikke behøver at kræve fx en bestemt certificering eller revisionserklæring.
Kravene skal være risikobaserede og forholdsmæssige: jo mere jeres leverance kan påvirke kundens net- og informationssystemer, jo mere kan kunden forlange. En leverandør med fjernadgang til kundens produktionsanlæg får typisk flere spørgsmål end en, der leverer kontorartikler.
| Typisk krav | Hvad kunden vil vide |
|---|---|
| Følg relevante sikkerhedskrav | Hvilke grundlæggende tiltag I har: MFA, opdateringer, backup, adgangsstyring |
| Underret om hændelser | Hvem hos jer opdager en hændelse, og hvor hurtigt kunden får besked |
| Ret til dokumentation eller revision | Hvad I kan vise skriftligt – politikker, procedurer, rapporter |
| Underleverandører | Hvem I selv bruger, fx til IT-drift eller cloud |
| Ophør af aftalen | Hvordan kundens data udleveres og slettes, når samarbejdet slutter |
| Adgang til kundens systemer | At adgangen er personlig, begrænset og kan lukkes |
Sådan forbereder I jer som leverandør
Vores vurdering: Den bedste forberedelse er at have et ærligt og kort svar klar, før spørgeskemaet kommer. Lov ikke mere, end I kan dokumentere – et urealistisk løfte i en kontrakt er værre end et »det har vi ikke i dag, men vi kan have det på plads til …«.
- Lav en kort beskrivelse af jeres grundlæggende sikkerhed: hvem har adgang til hvad, hvordan er login beskyttet, hvordan opdateres computere, hvordan tages og testes backup. En IT-politik er et godt sted at samle det.
- Beslut, hvem der svarer på kunders sikkerhedsspørgsmål, og hvem der underretter kunder ved en hændelse – en beredskabsplan med kontaktlister gør det konkret.
- Gennemgå de adgange, I har til kunders systemer, og luk dem, I ikke bruger.
- Spørg jeres egen IT-leverandør, hvad de kan dokumentere om deres del – kunden kan spørge til jeres underleverandører.
- Gem dokumentationen ét sted, så næste kundespørgsmål tager timer og ikke uger.
Spørgsmål og svar
Bliver vi omfattet af NIS2, fordi vores kunde er det?
Nej, ikke i sig selv. SAMSIK skriver, at leverandører ikke er direkte omfattet, men at de kan blive påvirket, fordi den omfattede kunde skal stille risikobaserede krav til sine direkte leverandører.
Hvem fører tilsyn med NIS2?
Tilsynet er fordelt på sektoransvarlige myndigheder. SAMSIK oplyser, hvilke sektorer styrelsen selv fører tilsyn med, og har en oversigt over de øvrige sektoransvarlige myndigheder på samsik.dk.
Er der forskel på væsentlige og vigtige enheder?
Ifølge SAMSIK er kravene grundlæggende de samme. Forskellen ligger i tilsynet og i sanktionerne, hvor væsentlige enheder kan få større bøder end vigtige enheder.
Kilder (tjekket oktober 2026): Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven), lov nr. 434 af 6. maj 2025 – Retsinf · NIS 2 – Styrelsen for Samfundssikkerhed · Hvad er NIS 2? – Styrelsen for Samfundssikkerhed · NIS 2: Spørgsmål og svar – Styrelsen for Samfundssikkerhed · Vejledning om anvendelsesområdet (NIS 2) – Styrelsen for Samfundssikkerhed · Vejledning til implementering af cybersikkerhedsforanstaltninger (NIS 2) – Styrelsen for Samfundssikkerhed · NIS2-tjek – SikkerDigital
Står I med et spørgeskema fra en kunde?
I en gratis IT-gennemgang ser vi på, hvad jeres IT faktisk kan dokumentere i dag, så I kan svare præcist. Den juridiske vurdering af, om I selv er omfattet, hører hjemme hos jer og jeres rådgiver.
