Et IT-selskab, der driver systemer for de andre selskaber i koncernen, kan efter omstændighederne være udbyder af administrerede tjenester og dermed omfattet af forordning 2024/2690. Digitaliseringsstyrelsen har ikke fast praksis, og dens vurdering er foreløbig. Auditten begynder derfor med at kontrollere, at koncernen har foretaget vurderingen og skrevet den ned.
Spørgsmålet afgør, hvilke kriterier resten af auditten måler efter. Er IT-selskabet udbyder, gælder bilaget til forordningen for hele dets CVR-nummer. Er det ikke, gælder lovens almindelige krav, hvis selskabet ellers er omfattet. Ingen audit kan afgøre spørgsmålet bindende, men en audit kan vise, om vurderingen er grundig.
De tre betingelser
Digitaliseringsstyrelsens FAQ beskriver, hvornår man er udbyder af administrerede tjenester. Man skal levere blot én af ydelserne installation, administration, drift eller vedligeholdelse og samtidig opfylde alle tre betingelser.
- Der leveres administrerede tjenester. Udføres der udelukkende konsulentydelser, er man ikke omfattet.
- Tjenesterne leveres til virksomheder eller organisationer og ikke til private forbrugere.
- Tjenesterne leveres som led i en kommerciel aktivitet.
Det er efter FAQ’en underordnet, om arbejdet udføres hos kunden eller på afstand.
Markedsvilkår og deling af omkostninger bliver tit nævnt i samme åndedrag som betingelserne. De hører til en anden del af styrelsens tekst, nemlig vurderingen af ydelser inden for en koncern, og de står i næste afsnit.
Ydelser inden for koncernen
Styrelsen skriver, at koncerninterne tjenester efter omstændighederne vil kunne være administrerede tjenester, når de leveres som led i en kommerciel aktivitet til andre juridiske enheder i koncernen. Styrelsen nævner et it-driftsselskab som eksempel. Der er endnu ikke fast praksis.
Efter styrelsens umiddelbare opfattelse kan man ved vurderingen inddrage:
- tjenesternes karakter og formål
- den indbyrdes forbundethed og rollefordelingen i koncernen
- om vilkår og priser fastsættes og udbydes på markedsvilkår.
Deler to eller flere organisationer i koncernen i praksis data, net eller systemer og deler de tilknyttede omkostninger, er det efter styrelsens umiddelbare vurdering ikke udbud af administrerede tjenester.
Alt dette er styrelsens foreløbige vurdering. Det kan ændre sig, når der kommer praksis. En audit kan derfor ikke konkludere, at en bestemt koncern er inden for eller uden for. Den kan konstatere, om koncernen har vurderet forholdene og kan vise grundlaget.
Hvert CVR-nummer for sig
Styrelsen ser på det enkelte CVR-nummer. Mor og datter er derfor hver sin enhed, når de har hvert sit nummer. Er IT-selskabet udbyder, er det IT-selskabet, der er omfattet af forordningen. De selskaber, det leverer til, vurderes hver for sig efter deres egen aktivitet.
Det giver et tænkt mønster i en koncern. IT-selskabet måles efter bilaget til forordningen. Produktionsselskabet måles efter lovens § 6, hvis det er omfattet. Hvordan en fælles audit kan dække begge, står i NIS2-audit i en koncern.
Rene konsulentydelser
Styrelsen skriver om administrerede sikkerhedstjenester, at en ren konsulentydelse inden for områderne ikke i sig selv gør enheden til udbyder. En sikkerhedsaudit, der leveres som afgrænset rådgivning, er efter den vurdering ikke en administreret sikkerhedstjeneste. Overvåger samme selskab også koncernens systemer løbende, er billedet et andet.
Sådan prøver auditor vurderingen
Fremgangsmåden herunder er god skik i en audit og ikke styrelsens.
Først vil auditor se koncernens skriftlige vurdering af, om IT-selskabet er udbyder. Dernæst ser auditor på de dokumenter, der viser, hvordan ydelserne faktisk leveres: aftaler mellem selskaberne, afregningsprincipper og en beskrivelse af, hvem der ejer og driver systemerne.
Står der i vurderingen, at selskaberne deler systemer og omkostninger, ser auditor efter, om det passer. En intern aftale med faste priser pr. bruger og serviceniveauer ligner en kommerciel levering mere end en fælles drift. Det betyder ikke, at konklusionen er forkert. Det betyder, at vurderingen bør forholde sig til det.
Leverer IT-selskabet også til kunder uden for koncernen, er spørgsmålet ofte afgjort. Så leveres der som led i en kommerciel aktivitet, og hele IT-selskabets CVR-nummer er omfattet. Se forordningen for udbydere af cloud og drift.
Er IT-selskabet udbyder, får de andre selskaber i koncernen en leverandør med egne krav. Hvordan kunden stiller krav til en IT-leverandør og kontrollerer den, hører til audit af forholdet mellem kunde og IT-leverandør.
Hvad det kræver, og hvad det koster at lade være
Det kræver en skriftlig vurdering, der gennemgår styrelsens tre betingelser og forholdene for koncerninterne ydelser. Juridisk ansvarlig, økonomi og IT bør bidrage, fordi svaret afhænger af aftaler og afregning lige så meget som af teknik. Vurderingen bør tages op igen, når styrelsen udmelder praksis.
Uden vurderingen risikerer koncernen at måle IT-selskabet efter de forkerte kriterier. Er selskabet omfattet af forordningen, er der krav med faste intervaller og egne tærskler for væsentlige hændelser, som ikke står i lovens almindelige vejledning.
Det skal I lade være med
- At gå ud fra, at koncerninterne ydelser aldrig tæller · styrelsen siger, at de efter omstændighederne kan.
- At skrive en konklusion uden grundlag · vurderingen skal kunne vises og forklares.
- At glemme kunderne uden for koncernen · ét eksternt kundeforhold kan afgøre sagen.
Det skal auditten kunne vise
- ☐ En dateret vurdering af styrelsens tre betingelser for IT-selskabet.
- ☐ En gennemgang af tjenesternes karakter, rollefordeling og vilkår.
- ☐ Interne aftaler og afregningsprincipper, der understøtter vurderingen.
- ☐ En oversigt over eventuelle kunder uden for koncernen.
- ☐ En aftale om at tage vurderingen op igen, når der kommer praksis.
Kilder
- Digitaliseringsstyrelsen, FAQ om NIS 2, afsnittene “Hvornår er man udbyder af administrerede tjenester?” og “Hvad gælder der for koncerninterne administrerede tjenester?”, https://digst.dk/tilsyn/nis-2/faq-om-nis-2/, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690 af 17. oktober 2024, artikel 1, https://publications.europa.eu/resource/celex/32024R2690, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv ned, hvordan IT-selskabet afregner med de andre selskaber, og om nogen uden for koncernen får ydelser fra det.
Læs også: Udbyderens egne leverandører efter punkt 5 · Driften er outsourcet
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
