Har en dansk koncern datterselskaber i andre EU-lande, er hvert selskab som udgangspunkt underlagt NIS2-reglerne i det land, hvor det er etableret. En fælles audit kan godt dække dem alle, men kriterierne skal sættes pr. selskab efter det lands regler, og det danske selskab kan ikke måles efter de udenlandske.
For digitale udbydere gælder en anden regel, og her kan hele gruppen samles under ét land. Den skal kendes, før auditten afgrænses.
Hovedreglen: etableringslandet
NIS 2-loven § 2, stk. 1 siger, at enheder etableret i Danmark hører under dansk jurisdiktion. Styrelsen for Samfundssikkerhed forklarer i vejledningen om anvendelsesområdet, at jurisdiktionsreglerne gælder for den enkelte enhed. Forskellige dele af en koncern kan derfor være omfattet af forskellige EU-landes regler.
Vejledningen tilføjer, at en enhed, der opererer i andre EU-lande, selv har ansvaret for at undersøge, om den er omfattet dér. Kravene i de enkelte lande er ikke gennemgået i denne artikel.
Hvert selskab er en enhed med sit eget registreringsnummer og sit eget ledelsesorgan, også når det ligger i et andet land. Det er samme logik som i NIS2-audit i en koncern, blot med flere lovgivninger.
Undtagelsen: de digitale enhedstyper
For en række digitale enhedstyper gælder en anden regel. Det drejer sig blandt andet om udbydere af cloud, datacentre, administrerede tjenester og administrerede sikkerhedstjenester. De hører efter § 2, stk. 2 under det land, hvor de har deres hovedforretningssted. Resultatet er, at de følger ét lands NIS2-regler for tjenesten.
Vejledningen tilføjer en regel for grupper. Leverer flere selskaber tjenesten sammen, er det placeringen hos den virksomhed, der kontrollerer de andre, som afgør sagen for dem alle. En koncern med en dansk moder, der driver administrerede tjenester gennem datterselskaber i flere lande, kan altså samles under én lovgivning for netop den tjeneste. Hvordan hovedforretningsstedet fastlægges, står i hovedforretningssted for en digital enhed.
Én enhed kan være omfattet af begge regler. Vejledningen giver et eksempel med en fremstillingsvirksomhed, der også udbyder administrerede tjenester. Den kan være omfattet af både den danske og den tyske gennemførelse af direktivet, en for hver aktivitet.
Kriterier pr. selskab i en fælles audit
Er auditten fælles for selskaber i flere lande, kan den bygges i tre trin. Modellen er praksis.
Først kortlægges, hvilket land og hvilken regel der gælder for hvert selskab, og hvilken kategori det har dér. Den kortlægning er selskabernes egen opgave efter vejledningen, men auditten bør kontrollere, at den er lavet og dokumenteret. For de danske selskaber hører størrelsesberegningen med.
Dernæst skrives kriterierne pr. selskab. For de danske selskaber er det NIS 2-loven og de danske vejledninger. For selskaberne i andre lande er det det pågældende lands gennemførelse. Auditor skal kende de regler eller arbejde sammen med en, der gør. Ellers bør de udenlandske selskaber stå uden for opdraget.
Til sidst kontrolleres det fælles én gang, som i en dansk koncern. Delte systemer og politikker vurderes mod det strengeste af de krav, de skal opfylde. Det sidste er en faglig anbefaling.
Registreringen følger jurisdiktionen
Vejledningen gør opmærksom på, at jurisdiktionen også styrer registreringen. Koncerner med enheder i flere EU-lande skal være opmærksomme på, at jurisdiktionen afgør, hvor hver enhed registreres. Et dansk selskab, der udbyder tjenester i andre lande, skal desuden oplyse, hvilke lande det er, efter § 10. Det er gennemgået i registreringen efterprøvet.
En koncern, der vil styre sikkerheden på tværs af mange lande med samme mål og rapportering, har brug for mere end en NIS2-audit. Den styring er et emne for de større organisationer.
Hvad det kræver, og hvad det koster at lade være
Kortlægningen kræver en liste over selskaberne med land, aktiviteter og eventuelle digitale tjenester, og en person, der kan undersøge reglerne i hvert land. Den udenlandske del kræver ofte lokal juridisk hjælp. Denne artikel er ikke juridisk rådgivning.
En audit, der måler alle selskaber efter danske regler, giver et forkert billede af de udenlandske. Reglerne i de andre lande er ikke nødvendigvis formuleret som de danske. Og en dansk moder, der ikke ved, at den er underlagt to lovgivninger, opdager det måske først, når en myndighed i et andet land henvender sig.
Det skal I lade være med
- At måle de udenlandske selskaber efter dansk lov · jurisdiktionen følger det enkelte selskab.
- At overse hovedforretningsstedsreglen · digitale tjenester kan samles under ét land.
- At lade kortlægningen ligge hos auditor · vejledningen lægger ansvaret hos enheden.
Det skal auditten kunne vise
- ☐ For hvert selskab: land, jurisdiktion, kategori og den regel, kriterierne bygger på.
- ☐ Om koncernen udbyder digitale tjenester, og hvor hovedforretningsstedet er.
- ☐ Den dokumenterede vurdering af, om selskaberne er omfattet i deres land.
- ☐ Hvilke selskaber der står uden for opdraget, og hvorfor.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en tabel over koncernens selskaber med land og aktiviteter, og markér dem, der udbyder digitale tjenester.
Læs også: Hovedforretningssted for en digital enhed · Størrelsesberegningen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
