Er ét af jeres forretningsområder omfattet af NIS 2-loven, er hele den juridiske enhed omfattet, og alle dens systemer hører med i auditten. Områderne må have forskelligt sikkerhedsniveau, når forskellen er begrundet.
Udtrykket “delvist omfattet” bruges om virksomheder med flere ben. Det findes ikke i loven, og det kan føre til en audit, der ser på den ene halvdel af virksomheden og lader den anden stå.
Det, vejledningen siger
Styrelsen for Samfundssikkerheds vejledning om anvendelsesområdet, 1. udgave maj 2025, er tydelig i kapitel 1. Er en enhed omfattet, vil hele enheden blive omfattet. Alle de systemer, enheden driver forretning og leverer tjenester med, skal derfor med i arbejdet. Det gælder også, når enheden har flere forretningsområder, og kun ét af dem er omfattet.
Vejledningen definerer samme sted enheden ud fra CVR-nummeret. Et moderselskab og et datterselskab med hvert sit CVR-nummer er to enheder, og de vurderes hver for sig. Hvad det betyder for en koncern, står i artiklen om koncerner.
Kapitel 2 tilføjer, at det i udgangspunktet er ligegyldigt, om aktiviteten er en bi- eller en hovedaktivitet. Undtagelsen er, hvor definitionen i loven selv siger noget andet. Vejledningens eksempel er drikkevandsdistributører, hvor distribution er en ikke-væsentlig del af aktiviteten.
Forskellige niveauer er tilladt
Vejledningen fortsætter med en vigtig nuance. At hele enheden er omfattet, betyder ikke nødvendigvis, at der er behov for ens sikkerhedstiltag. En tjeneste med større samfundsmæssig betydning kan have et højere niveau, og en mindre biaktivitet et lavere, og det kan være passende.
Vejledningen om foranstaltningerne siger det samme fra den anden side. Sikkerhedsniveauet må variere mellem dele af systemerne, og enheden skal vurdere systemernes kritiske betydning og de skader, en hændelse kan give for samfundet og økonomien.
Det giver auditten en klar opgave. Den skal kontrollere, at alle områder er vurderet, og at forskellen i niveau følger af vurderingen. At forskellen skal begrundes, er afledt af den risikobaserede tilgang og er praksis, ikke ordlyd.
Et tænkt eksempel
Et tænkt eksempel gør det konkret. En virksomhed fremstiller produkter i en branche, der er nævnt i lovens bilag, og har ved siden af en afdeling, der sælger reservedele til private gennem en webbutik. Begge dele ligger i samme selskab.
Auditten skal se på produktionen, dens styresystemer og de leverandører, der har adgang til dem. Den skal også se på webbutikken, lageret, økonomisystemet og mailen. Webbutikken kan have et lavere niveau, hvis risikovurderingen viser, at en hændelse dér ikke rammer produktionen og ikke giver skader for andre end virksomheden selv.
Deler de to områder identitet, netværk eller administratorer, bliver vurderingen en anden. En angriber, der kommer ind gennem webbutikken, kan nå produktionen. Så er niveauet i webbutikken en del af beskyttelsen af den omfattede tjeneste. Den slags forbindelser er netop det, auditten bør lede efter.
Spørgsmål til auditten
Fire spørgsmål hjælper med at holde auditten til hele enheden.
Hvilke forretningsområder har CVR-nummeret, og hvilke af dem er nævnt i lovens bilag? Svaret bør stå skriftligt med henvisning og hænge sammen med kategorien som væsentlig eller vigtig.
Er alle områder med i risikovurderingen, eller kun de omfattede? Er kun nogle med, er det et fund. Hvordan selve vurderingen kontrolleres, står i audit af risikovurderingen.
Hvor er niveauet lavere, og hvad er begrundelsen? Begrundelsen bør bygge på samfundsmæssig betydning og forbindelser til den omfattede tjeneste.
Hvilke systemer, folk og leverandører deles mellem områderne? Det fælles bør have det højeste af de niveauer, det betjener. Det sidste er en faglig anbefaling.
Den bredere afgrænsning af systemer og steder er beskrevet i afgrænsning af NIS2-auditten. Hvordan spørgsmålet ser ud for kommuner og regioner med mange forskellige opgaver, er behandlet for den offentlige sektor.
Hvad det kræver, og hvad det koster at lade være
At få hele enheden med kræver en oversigt over forretningsområder og de systemer, de bruger, og en risikovurdering, der går på tværs af dem. Har I skrevet risikovurderingen for det omfattede område alene, skal den udvides, før auditten giver et retvisende billede.
En audit af det omfattede område alene ser rigtig ud på papiret. Tilsynet læser loven for hele enheden og kan spørge til de øvrige områder. Den største risiko er praktisk: de delte systemer mellem et område med lavt niveau og et med højt bliver ikke set af nogen.
Det skal I lade være med
- At kalde jer delvist omfattet · loven omfatter hele den juridiske enhed.
- At give alle områder samme niveau uden at vurdere · forskelle er tilladt, når de er begrundet.
- At overse de systemer, områderne deler · de forbinder det lave niveau med det høje.
Det skal auditten kunne vise
- ☐ Alle forretningsområder under CVR-nummeret, og hvilke der er nævnt i bilagene.
- ☐ En risikovurdering, der dækker hele enheden.
- ☐ Niveauet for hvert område og begrundelsen for forskellene.
- ☐ De systemer, personer og leverandører, områderne deler.
Kilder
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv alle forretningsområder under jeres CVR-nummer op, og sæt kryds ved dem, der er med i risikovurderingen i dag.
Læs også: Væsentlig eller vigtig enhed · Størrelsesberegningen efterprøvet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
