Europa-Kommissionen har foreslået, at medlemsstaterne skal kunne kræve, at virksomheder omfattet af NIS 2 får et certifikat for deres cybersikkerhedsniveau under en europæisk certificeringsordning. Forslaget er ikke vedtaget, og pr. 12. november 2026 afventer det en beslutning i Europa-Parlamentets udvalg.
Indtil videre gælder NIS 2-loven, som den er. En audit i dag måler efter gældende ret. Artiklen beskriver forslaget og dets status, så I kan følge med uden at planlægge efter noget, der ikke findes endnu.
Hvad er forslaget?
Forslaget hedder COM(2026) 13 og er et forslag til direktiv om ændring af NIS 2-direktivet (direktiv (EU) 2022/2555). Det er dateret Strasbourg 20. januar 2026 og har procedurenummeret 2026/0012(COD). Europa-Parlamentets oversigt angiver 14. januar 2026 som dato for offentliggørelsen. Vi har ikke afklaret forskellen og skriver derfor “forslaget fra januar 2026”.
Vi har læst den engelske tekst. Oversættelserne nedenfor er vores egne.
Certifikatet i forslagets artikel 24
Forslaget ændrer artikel 24 i NIS 2-direktivet. Forenklet gengivet siger stk. 4-6:
- Medlemsstaterne kan (“may require”) kræve, at enheder opnår et certifikat for deres cybersikkerhedsniveau (“a certificate on the cyber posture”) under en europæisk certificeringsordning efter den foreslåede nye cybersikkerhedsforordning.
- Dækker et sådant certifikat kravene, må myndighederne ikke pålægge yderligere foranstaltninger efter direktivets artikel 32, stk. 2, litra b, eller artikel 33, stk. 2, litra b, for de krav, certifikatet dækker.
- Certificeringen påvirker ikke ansvaret for at overholde direktivet.
Den foreslåede gennemførelsesfrist er 12 måneder efter ikrafttræden.
Hvad forslaget ikke afgør
Forslaget siger “may”, altså at medlemsstaterne kan. Om Danmark vil bruge muligheden, og for hvilke enheder, står ikke i forslaget. Certificeringsordningen bygger på en anden forordning, som også er et forslag. Hvad certifikatet skal dække, og hvem der skal udstede det, er derfor ikke kendt.
Bemærk også den sidste del. Selv med et certifikat bevarer virksomheden ansvaret for at overholde reglerne. Et certifikat bliver altså et bevis blandt flere og fritager ikke ledelsesorganet for sit tilsyn efter § 7.
Status pr. 12. november 2026
Ifølge Europa-Parlamentets Legislative Observatory, læst den 12. november 2026:
- Status: “Awaiting committee decision”.
- Ansvarligt udvalg: ITRE (industri, forskning og energi). Henvisningen blev meddelt i Parlamentet 25. marts 2026.
- Udkast til betænkning: 24. september 2026.
- Ændringsforslag i udvalget: 13. oktober 2026.
- Vejledende dato for plenarmøde ved førstebehandlingen: 8. marts 2027.
En vejledende dato er ikke en vedtagelse. Rådet skal også tage stilling, og teksten kan ændre sig undervejs.
Hvad det betyder for en audit nu
Det følgende er praksis. En NIS2-audit, der laves i dag, måler mod NIS 2-loven, bekendtgørelserne og, for digitale enheder, forordning 2024/2690. Den måler ikke mod forslaget. Om at omsætte lovens ord til noget, der kan måles, se skal, bør og kan.
Tre ting kan alligevel være værd at gøre:
- Ordn beviset efter lovens ti foranstaltninger. Et kommende certifikat vil skulle bygge på dokumentation af foranstaltningerne, og en ordnet bevismappe er nyttig uanset udfaldet.
- Kend forskellen på audit og certifikat. En audit giver en vurdering til jer. Et certifikat er en udtalelse fra en certificeringsinstans til omverdenen. Forskellen er beskrevet i hvad en sikkerhedsaudit ikke kan.
- Følg sagen. Sæt en dato for at tjekke status igen, fx efter plenarmødet.
Hvem udsteder certifikater?
Hvem der kan udstede et certifikat efter forslaget, afhænger af en ordning, der endnu ikke er vedtaget. En auditor, der laver en NIS2-audit for jer, udsteder ikke dermed et certifikat. Spørg altid, hvad I får: en rapport, en erklæring eller et certifikat, og hvem der står bag. Se også ISO 27001-certifikatet i NIS2-auditten for, hvordan et eksisterende certifikat bruges i dag.
Hvis Danmark bruger muligheden
Hvis forslaget vedtages, og Danmark vælger at kræve certifikater, vil det ske ved ændring af dansk ret. Den proces vil have sin egen høring og sine egne frister. Det følgende er praksis. Når et lovforslag foreligger, er det tid til at se på, om jeres dokumentation og foranstaltninger kan bære en certificering, og hvad der i så fald mangler. Før det er sket, er der intet at planlægge efter.
Ledelsesorganet bør kende forslaget i hovedtræk, så det ikke bliver overrasket, hvis det vedtages. En kort orientering i et møde om året er nok, indtil der kommer et dansk lovforslag.
Hvad det kræver, og hvad det koster at lade være
At følge forslaget kræver, at nogen tjekker status nogle gange om året. Det kræver ikke ændringer i jeres program i dag.
Planlægger I efter forslaget, som om det var vedtaget, risikerer I at vente på en ordning, der ikke kommer i den form, og at udskyde arbejde, loven allerede kræver.
Det skal I lade være med
- At udskyde en audit i forventning om et certifikat · loven gælder nu.
- At læse forslagets “may” som et krav · det er en mulighed for medlemsstaterne.
- At tro, at et certifikat fjerner ansvaret · forslaget siger det modsatte.
Det skal auditten kunne vise
- ☐ At kriterierne er gældende ret og ikke forslaget.
- ☐ Bevis ordnet efter lovens ti foranstaltninger.
- ☐ Hvem der følger lovgivningen, og hvornår status tjekkes næste gang.
Kilder
- Europa-Kommissionen, COM(2026) 13 final, forslag til direktiv om ændring af direktiv (EU) 2022/2555, http://publications.europa.eu/resource/cellar/9b9c0d74-f6e3-11f0-b9bc-01aa75ed71a1.0001.03/DOC_1, læst 12. november 2026.
- Europa-Parlamentet, Legislative Observatory, procedure 2026/0012(COD), https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2026/0012(COD), læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 7, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad en NIS2-audit ikke kan bevise · Kræver NIS 2-loven en audit? · Certificerede IKT-produkter efter § 8
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
