NIS 2-lovens § 8 giver mulighed for, at en minister fastsætter regler om, at væsentlige og vigtige enheder skal bruge IKT-produkter, -tjenester og -processer, der er certificeret efter en europæisk cybersikkerhedscertificeringsordning. Vi har ikke fundet regler udstedt efter bestemmelsen.
Det er altså en mulighed i loven og ikke et krav i dag. Artiklen forklarer, hvad bestemmelsen går ud på, og hvordan en audit forholder sig til den.
Hvad § 8 siger
Bestemmelsen siger, forenklet gengivet, at vedkommende minister efter forhandling med ministeren for samfundssikkerhed og beredskab kan fastsætte regler om, at enhederne skal anvende særlige IKT-produkter, -tjenester og -processer, der er certificeret efter en europæisk ordning. Formålet er at påvise overensstemmelse med bestemte krav i § 6, stk. 1, eller med regler fastsat efter § 6, stk. 3. Produktet kan være udviklet af enheden selv eller købt fra andre.
Ordet er “kan”. Bestemmelsen giver en hjemmel, og den forpligter ingen, før der er udstedt regler.
Hvad bemærkningerne tilføjer
Ifølge lovbemærkningerne gennemfører § 8 direktivets artikel 24, stk. 1. Certificeringsordningerne er dem, der fastsættes efter forordning (EU) 2019/881, artikel 49. Regler efter bestemmelsen skal følge princippet om minimumsimplementering. Kommissionen kan desuden efter direktivets artikel 24, stk. 2, vedtage delegerede retsakter.
Det sidste betyder, at krav om certificerede produkter i princippet også kan komme fra EU-niveau. Vi har ikke undersøgt, om det er sket.
Status
Vi har søgt efter en bekendtgørelse udstedt efter § 8 og har ikke fundet nogen. Søgningen blev lavet den 12. november 2026 og var ikke udtømmende. Søgeresultater er ikke kilder, og vi skriver derfor ikke, at der ikke findes regler. Vi skriver, at vi ikke har fundet dem.
Slå selv op på Retsinformation efter bekendtgørelser udstedt med hjemmel i § 8, eller spørg jeres sektormyndighed.
Forslaget fra januar 2026
Forslaget fra januar 2026 fra Kommissionen peger i en anden retning: et certifikat for virksomhedens cybersikkerhedsniveau. Det handler om virksomheden og ikke om de enkelte produkter. Se certifikatet i forslaget fra 2026.
Hvad en audit gør med § 8 i dag
Det følgende er praksis. Så længe der ikke er regler efter § 8, er der intet krav om certificerede produkter at måle imod. En audit kan derfor ikke registrere det som et fund, at et produkt ikke er certificeret.
Det, auditten måler imod, er § 6, stk. 1, nr. 4 og 5: forsyningskædesikkerhed og sikkerhed ved erhvervelse, udvikling og vedligeholdelse. Her ser auditor på, om I stiller sikkerhedskrav, når I køber IKT, og om I vurderer leverandørerne. En certificering kan være ét af de oplysninger, I lægger vægt på ved et indkøb. Det er jeres valg. Se sikkerhed ved anskaffelse og audit af leverandørstyringen.
Hvis der kommer regler
Bliver der udstedt regler efter § 8, vil de angive, hvilke produkter, tjenester eller processer der er omfattet, og efter hvilken ordning. Det følgende er praksis. Auditten vil så skulle se på tre ting:
- Hvilke af jeres IKT-produkter, -tjenester og -processer der falder under reglerne.
- Om de er certificeret efter den rigtige ordning, og om certifikatet er gyldigt.
- Hvordan I holder øje med, at certifikaterne fortsat gælder.
Det forudsætter et opdateret aktivregister, der viser, hvilke produkter I bruger hvor. Se aktivregistret.
Certifikater og audits er forskellige
En certificering efter en europæisk ordning udtaler sig om et produkt, en tjeneste eller en proces. En NIS2-audit udtaler sig om virksomhedens foranstaltninger. En auditor udsteder ikke certifikater og kan ikke erstatte en certificering. Mere om det i hvad en sikkerhedsaudit ikke kan.
IKT fra leverandører og egen udvikling
§ 8 nævner, at produktet kan være udviklet af enheden selv eller købt fra tredjeparter. Det følgende er praksis. Udvikler I selv software, som indgår i jeres net- og informationssystemer, vil eventuelle regler efter § 8 også kunne ramme det. Hvordan egen udvikling auditeres i dag, står i sikkerhed ved anskaffelse.
Hvad bestyrelsen bør vide
Ledelsesorganet godkender foranstaltningerne efter § 7. Det følgende er praksis. Det er nok, at ledelsesorganet ved, at § 8 findes, og hvem der følger med i, om der kommer regler. Kommer der regler, bliver de en del af de foranstaltninger, ledelsesorganet skal godkende.
Hvad det kræver, og hvad det koster at lade være
At følge med i § 8 kræver, at nogen tjekker for nye bekendtgørelser med jævne mellemrum. Det kræver ingen ændringer i dag.
Uden det overblik kan et krav komme bag på jer, og et opdateret aktivregister er forudsætningen for at kunne reagere. Til gengæld giver det ingen mening at købe certificerede produkter for at opfylde et krav, der ikke findes.
Det skal I lade være med
- At skrive, at § 8 kræver certificerede produkter · bestemmelsen er en hjemmel.
- At bruge certificering som eneste indkøbskriterium · § 6 kræver en vurdering af risikoen.
- At regne en auditrapport for en certificering · det er to forskellige ting.
Det skal auditten kunne vise
- ☐ Hvem der følger med i regler efter § 8, og hvornår det sidst er tjekket.
- ☐ Sikkerhedskrav ved indkøb af IKT efter § 6, stk. 1, nr. 4 og 5.
- ☐ Et aktivregister, der viser, hvilke produkter der bruges hvor.
Kilder
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 6 og 8, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Lovforslag L 141 (2024-25), bemærkninger til § 8, https://www.retsinformation.dk/api/pdf/248044, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Kræver NIS 2-loven en audit? · ISO 27001-certifikatet i NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
