For en række digitale enheder afgør hovedforretningsstedet, hvilket EU-lands NIS2-regler de er underlagt. NIS 2-loven fastlægger det i tre trin, og enheden skal kunne dokumentere sin vurdering, når myndigheden spørger.
Reglen gælder kun de digitale enhedstyper, som § 2, stk. 2 nævner, blandt andre udbydere af cloud, datacentre og administrerede tjenester. Alle andre enheder hører under det land, hvor de er etableret.
Én tjeneste, ét land
Digitale tjenester leveres ofte fra flere lande på én gang. § 2, stk. 2 placerer de nævnte udbydere under ét land, og det er Danmark, hvis hovedforretningsstedet ligger her.
Ifølge styrelsens vejledning om anvendelsesområdet giver det de digitale udbydere ét sæt regler at følge. I en gruppe er det moderens, altså den kontrollerende virksomheds, hovedforretningssted, der bestemmer for alle. Hvordan en koncern i øvrigt auditeres, står i NIS2-audit i en koncern.
De tre trin
§ 2, stk. 3 fastlægger hovedforretningsstedet i en rækkefølge, hvor næste trin kun bruges, hvis det forrige ikke giver svar.
Første trin er det land, hvor beslutningerne om foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes. Vejledningen forklarer, at det er der, hvor enhedens centrale ledelse er placeret. Det omfatter også beslutninger om at lægge opgaver ud.
Andet trin bruges, hvis det ikke kan fastslås, hvor beslutningerne træffes, eller de ikke træffes i EU. Så er det landet, hvor cybersikkerhedsoperationerne udføres. Vejledningen beskriver dem som processerne for at implementere, styre, levere og understøtte risikostyringsforanstaltningerne.
Tredje trin bruges, hvis heller ikke det kan fastslås. Så er det det land, hvor enheden har det forretningssted i EU, der har flest ansatte. Vejledningen siger, at ansatte beregnes som fuldtidsansatte i det seneste afsluttede regnskabsår.
Er enheden ikke etableret i EU, men leverer tjenester her, skal den efter § 2, stk. 4 udpege en repræsentant.
Hvad vurderingen bør indeholde
Vejledningen siger, at enhederne skal kunne dokumentere deres vurdering i forbindelse med et tilsyn. Hvad dokumentationen bør rumme, er ikke beskrevet. Indholdet nedenfor er praksis.
For første trin bør vurderingen vise, hvem der træffer beslutningerne om cybersikkerhed, og hvor de sidder. Det kan være referater fra ledelsesmøder, en organisationsbeskrivelse og en beskrivelse af, hvem der godkender politikker og risikoaccept. Ligger ledelsen i Danmark, men træffes de reelle beslutninger i et udenlandsk moderselskab, skal det med.
For andet trin bør den vise, hvor sikkerhedsdriften faktisk foregår: overvågning, hændelseshåndtering, sårbarhedshåndtering og adgangsstyring.
For tredje trin bør den indeholde en opgørelse af fuldtidsansatte pr. forretningssted for det seneste afsluttede regnskabsår.
Det, auditten efterprøver
Auditten kan kontrollere tre ting. Om vurderingen findes skriftligt og er dateret. Om den hviler på det første trin, hvor det er muligt, og ikke springer til et senere trin uden begrundelse. Og om den stadig er rigtig, efter at organisationen eventuelt har ændret sig.
Auditten kan også se på, om vurderingen er brugt konsekvent. Står Danmark som hovedforretningssted i registreringen, bør det samme fremgå af ledelsens beslutninger og af den måde, sikkerhedsarbejdet er organiseret på. Peger dokumenterne i hver sin retning, er vurderingen formentlig lavet for at udfylde et felt i registreringen.
Den sidste af de tre kontroller er den, der lettest bliver forældet. Flytter beslutningerne om sikkerhed til et andet land, fordi koncernen samler sin ledelse, flytter hovedforretningsstedet måske med. Den slags ændringer kan også påvirke registreringen, som er gennemgået i registreringen efterprøvet.
En fremstillingsvirksomhed, der også udbyder administrerede tjenester, kan være omfattet af to landes regler, ét for hver aktivitet. Vejledningen bruger netop det eksempel. Hvordan det spiller sammen med datterselskaber i flere lande, står i datterselskaber i andre EU-lande. Spørgsmålet om, hvorvidt en intern IT-funktion tæller som udbyder, har sin egen artikel.
Hvad det kræver, og hvad det koster at lade være
Vurderingen kræver kendskab til, hvordan beslutningerne om sikkerhed faktisk træffes i virksomheden, og til hvor driften foregår. I en enkel dansk virksomhed er svaret kort. I en international gruppe kan det kræve, at koncernens ledelse tager stilling.
En forkert vurdering kan betyde, at virksomheden følger det forkerte lands regler og registrerer sig det forkerte sted. Det viser sig først, når en myndighed spørger, og så skal hele grundlaget for sikkerhedsarbejdet måske lægges om.
Det skal I lade være med
- At springe til antallet af ansatte · første trin er beslutningerne.
- At bruge reglen for en ikke-digital enhed · de andre hører under etableringslandet.
- At lade vurderingen ligge efter en omorganisering · den kan være forældet.
Det skal auditten kunne vise
- ☐ At enheden er af en digital type, som § 2, stk. 2 omfatter.
- ☐ En skriftlig, dateret vurdering efter de tre trin.
- ☐ Bevis for, hvor beslutningerne om cybersikkerhed træffes.
- ☐ Om gruppereglen er brugt, og hvilken virksomhed der er den kontrollerende.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning om anvendelsesområdet, 1. udgave maj 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvem der godkendte jeres seneste sikkerhedspolitik og risikoaccept, og hvor de sad.
Læs også: NIS2-audit i en koncern · Datterselskaber i andre EU-lande
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
